Generatore Bcrypt

Un generatore di bcrypt trasforma una password semplice in un hash bcrypt: una stringa di 60 caratteri che memorizza in modo sicuro la password senza conservare la password stessa Bcrypt è una funzione di hashing della password progettata da Niels Provos e David Mazieres nel 1999, costruita sul cifrario Blowfish, ed è ancora la scelta predefinita in framework come Laravel, Spring Security e Django (come uno dei numerosi hasher supportati) Questo strumento genera un hash da qualsiasi password e, in modalità verifica, controlla se una password corrisponde a un hash che hai già.

Bcrypt fa due cose che un SHA-256 grezzo non fa Sali ogni hash con 16 byte casuali inseriti nell'output, quindi due utenti con la stessa password ottengono hash diversi e le tabelle arcobaleno precalcolate sono inutili Ed è volutamente lento: un fattore di costo da 4 a 31 controlla quanti round di espansione della chiave vengono eseguiti, raddoppiando il lavoro ad ogni passaggio Quella lentezza è il punto centrale Un hash veloce consente a un utente malintenzionato con un database trapelato di provare miliardi di ipotesi al secondo su una GPU; un hash bcrypt a costo di 12 richiede un quinto di secondo o giù di lì del tempo della CPU, il che limita un utente malintenzionato a una manciata di ipotesi un secondo per core, che è ciò che impedisce a un database rubato di trasformarsi in un elenco di password in testo normale durante la notte.

Il formato di output è autodescrittivo Un hash come $2b$12$R9h/cIPz0gi.URNNX3kh2OPST9/PgBkqquzi.Ss7KIUgO2t0jWMUW racchiude quattro campi separati da simboli di dollari: la versione (2b), il costo (12), e poi un sale Base64 di 22 caratteri seguito dal digest di 31 caratteri Poiché il sale e il costo viaggiano all'interno dell'hash, la verifica non ha bisogno altro che della password e della stringa hash, che è esattamente ciò che utilizza la modalità di verifica qui.

Tutto funziona lato client nel tuo browser La password che digiti, l'hash che incolli e il sale che viene generato non lasciano mai la scheda, non colpiscono nessun server e atterrano in nessun registro Il pannello Rete dei tuoi strumenti per sviluppatori mostra le uniche richieste sono un controllo di utilizzo e un record di utilizzo, che portano l'impostazione dei costi ma mai la password o l'hash L'algoritmo bcrypt è implementato in puro TypeScript, quindi lo strumento funziona anche offline una volta caricata la pagina L'output è compatibile byte per byte con OpenBSD, PHP password_hash (PASSWORD_BCRYPT), librerie Node bcrypt e i verificatori bcrypt in ogni framework principale, quindi un hash generato qui viene convalidato nella tua applicazione e viceversa.

Un modo rapido per provare il generatore di hash bcrypt è il campione In Genera, premi Carica campione per compilare la graffetta corretta della batteria del cavallo, lascia il fattore di costo a 10 e premi Genera hash Ottieni una stringa di 60 caratteri che inizia $ 2b $ 10 $, e premendo Genera hash ne viene nuovamente fornita una diversa, perché il sale è nuovo ogni volta In Verifica, Carica campione riempie un hash memorizzato e la stessa password e Verifica rapporti Corrisponde (costo 10) Cambia la prima lettera in una C maiuscola e non riporta alcuna corrispondenza Quel viaggio di andata e ritorno è ciò che un generatore di password bcrypt dovrebbe dimostrare.