Gerador BCrypt

Um gerador de bcrypt transforma uma senha simples em um hash bcrypt: uma string de 60 caracteres que armazena com segurança a senha sem manter a senha em si Bcrypt é uma função de hash de senha projetada por Niels Provos e David Mazieres em 1999, construída sobre a cifra Blowfish, e ainda é a escolha padrão em frameworks como Laravel, Spring Security e Django (como um dos vários hashers suportados).Esta ferramenta gera um hash a partir de qualquer senha e, no modo de verificação, verifica se uma senha corresponde a um hash que você já possui.

O Bcrypt faz duas coisas que um SHA-256 bruto não faz Ele salga cada hash com 16 bytes aleatórios incorporados na saída, então dois usuários com a mesma senha obtêm hashes diferentes e tabelas arco-íris pré-computadas são inúteis E é deliberadamente lento: um fator de custo de 4 a 31 controla quantas rodadas de expansão de chave são executadas, dobrando o trabalho a cada passo Essa lentidão é o ponto inteiro Um hash rápido permite que um invasor com um banco de dados vazado tente bilhões de suposições por segundo em uma GPU; um hash de bcrypt de custo 12 leva um quinto de segundo ou mais de tempo de CPU, o que limita um invasor a um punhado de suposições por segundo núcleo, que é o que impede um banco de dados roubado de se transformar em uma lista de senhas de texto simples durante a noite.

O formato de saída é auto-descritivo Um hash como $2b$12$R9 h/cIPz0gi.URNNX3kh2OPST9/PgBkqquzi.Ss7KIUgO2t0jWMUW embala quatro campos separados por cifrões: a versão (2 b), o custo (12), e depois um sal de Base64 de 22 caracteres seguido pelo resumo de 31 caracteres Como o sal e o custo viajam dentro do hash, a verificação não precisa de nada além da senha e da string hash, que é exatamente o que o modo de verificação aqui usa.

Tudo é executado no lado do cliente em seu navegador A senha que você digita, o hash que você cola e o salt que é gerado nunca saem da guia, não atingem nenhum servidor e não chegam a nenhum log. O painel Rede de suas ferramentas de desenvolvedor mostra que as únicas solicitações são uma verificação de uso e um registro de uso, que carregam a configuração de custos, mas nunca a senha ou hash O algoritmo bcrypt é implementado em TypeScript puro, portanto, a ferramenta também funciona offline depois que a página é carregada A saída é compatível byte por byte com OpenBSD, PHP password_hash (PASSWORD_BCRYPT), bibliotecas de bcrypt de nó e os verificadores bcrypt em todas as principais estruturas, portanto, um hash gerado aqui valida em seu aplicativo e vice-versa.

Uma maneira rápida de experimentar o gerador de hash bcrypt é a amostra Em Gerar, pressione Load Sample para preencher o grampo correto da bateria do cavalo, deixe o fator de custo em 10 e pressione Gerar Hash Você obtém uma sequência de 60 caracteres começando $ 2 b $ 10 $, e pressionando Gerar Hash novamente dá uma diferente, porque o salt é novo a cada vez Em Verificar, Load Sample preenche um hash armazenado e a mesma senha, e Verificar relatórios Corresponder (custo 10).Altere a primeira letra para um C maiúsculo e ele relata Não é compatível Essa viagem de ida e volta é o que um gerador de senha bcrypt deve provar.