Générateur Bcrypt

Un générateur bcrypt transforme un mot de passe simple en un hachage bcrypt : une chaîne de 60 caractères qui stocke le mot de passe en toute sécurité sans conserver le mot de passe lui-même Bcrypt est une fonction de hachage de mot de passe conçue par Niels Provos et David Mazieres en 1999, construite sur le chiffrement Blowfish, et c'est toujours le choix par défaut dans des frameworks comme Laravel, Spring Security et Django (comme l'un des nombreux hachages pris en charge).Cet outil génère un hachage à partir de n'importe quel mot de passe et, en mode vérification, vérifie si un mot de passe correspond à un hachage que vous avez déjà.

Bcrypt fait deux choses qu'un SHA-256 brut ne fait pas Il salit chaque hachage avec 16 octets aléatoires cuits dans la sortie, donc deux utilisateurs avec le même mot de passe obtiennent différents hachages et les tables arc-en-ciel précalculées sont inutiles Et il est délibérément lent : un facteur de coût de 4 à 31 contrôle combien de tours d'extension de clé s'exécutent, doublant le travail à chaque étape Cette lenteur est le point entier Un hachage rapide permet à un attaquant avec une base de données fuitée d'essayer des milliards de suppositions une seconde sur un GPU ; un hachage de chiffrement de coût-12 prend un cinquième de seconde ou un CPU de base de données, ce qui plafonne un texte de base de données est clair.

Le format de sortie est auto-descriptif Un hachage comme $2b$12$R9h/cIPz0gi.URNNX3kh2OPST9/PgBkqquzi.Ss7KIUgO2t0jWMUW emballe quatre champs séparés par des signes dollar : la version (2 b), le coût (12), et ensuite un sel Base64 de 22 caractères suivi du condensé de 31 caractères Parce que le voyage de sel et de coût à l'intérieur du hachage, la vérification n'a besoin que du mot de passe et de la chaîne de hachage, qui est exactement ce qu'utilise le mode de vérification ici.

Tout s'exécute côté client dans votre navigateur Le mot de passe que vous tapez, le hachage que vous collez et le sel généré ne quittent jamais l'onglet, n'atteignent aucun serveur et n'atterrissent dans aucun journal Le panneau Réseau de vos outils de développement affiche les seules requêtes sont un contrôle d'utilisation et un enregistrement d'utilisation, qui portent le paramètre de coût mais jamais le mot de passe ou le hachage L'algorithme bcrypt est implémenté dans du TypeScript pur, de sorte que l'outil fonctionne également hors ligne une fois la page chargée La sortie est octet pour octet compatible avec OpenBSD, le mot de passe PHP_hash (PASSWORD_BCRYPT), les bibliothèques bcrypt de Node et les vérificateurs bcrypt valides ici générés vice versa.

Un moyen rapide d'essayer le générateur de hachage bcrypt est l'échantillon Dans Générer, appuyez sur Échantillon de charge pour remplir l'agrafe de batterie de cheval correcte, laissez le facteur de coût à 10 et appuyez sur Générer du hachage Vous obtenez une chaîne de 60 caractères à partir de 2 b$10$, et en appuyant à nouveau sur Générer du hachage en donne une différente, car le sel est nouveau à chaque fois Dans Vérifier, Charger l'échantillon remplit un hachage stocké et le même mot de passe, et Vérifier les rapports Correspondre (coût 10). Changez la première lettre en un C majuscule et elle signale Aucune correspondance. Cet aller-retour est ce que devrait prouver un générateur de mot de mot de passe bcrypt.