Bcrypt-Hash-Generator und -Prüfer
EntwicklungEin Bcrypt-Generator hasht ein Passwort mit dem bcrypt-Algorithmus (zufälliges Salt plus einen einstellbaren Kostenfaktor) und prüft, ob ein Passwort zu einem gegebenen Hash passt.
Diese Seite wurde mit KI-Unterstützung übersetzt und noch nicht professionell geprüft. Prüfen Sie die zitierten Quellen vor einer wichtigen Entscheidung.
Was ist das
bcrypt ist eine Passwort-Hash-Funktion von 1999, die auf der Blowfish-Chiffre aufbaut und absichtlich langsam ist, um die Kosten von Brute-Force-Angriffen zu erhöhen. Jedes +1 beim Kostenfaktor verdoppelt den Aufwand, und jeder Hash bettet ein zufälliges Salt ein, sodass dasselbe Passwort jedes Mal einen anderen Hash erzeugt. Dieses Werkzeug führt die bcryptjs-Bibliothek in Ihrem Browser aus, sodass das Passwort niemals Ihr Gerät verlässt. Verwenden Sie es, um während der Entwicklung Hashes für Testkonten zu erstellen oder einen in Ihrer Datenbank gespeicherten Hash zu prüfen.
Verwendung
- 1Geben Sie im Modus Erzeugen ein Passwort ein und wählen Sie die Kosten (Runden), um einen Hash zu erstellen.
- 2Geben Sie im Modus Prüfen das Passwort und den vorhandenen bcrypt-Hash ein.
- 3Kopieren Sie den resultierenden Hash oder lesen Sie das Übereinstimmungsergebnis ab.
Referenz
| Teil | Bedeutung |
|---|---|
| $2b$ | Algorithmus-Kennung (aktuelle bcrypt-Revision) |
| 10$ | Kosten — 2^10 = 1.024 Iterationen |
| Nächste 22 Zeichen | 128-Bit-Zufalls-Salt (base64-kodiert) |
| Letzte 31 Zeichen | 184-Bit-Hash-Ausgabe (Prüfsumme) |
Quellen und Normen
- A Future-Adaptable Password Scheme (bcrypt) - USENIX
- OWASP Password Storage Cheat Sheet - OWASP
- MDN Web Docs: Client-side web APIs - MDN Web Docs
FAQ
Wird mein Passwort an einen Server gesendet?
Nein. Die bcryptjs-Bibliothek läuft in Ihrem Browser, sodass sowohl das Hashen als auch das Prüfen lokal erfolgen – Passwort und Hash werden niemals übertragen oder gespeichert. Vermeiden Sie es dennoch, Produktivpasswörter auf gemeinsam genutzten Rechnern oder während einer Bildschirmfreigabe einzugeben.
Warum ist der Hash für dasselbe Passwort jedes Mal anders?
Weil bei jedem Hash ein neues zufälliges Salt erzeugt und eingebettet wird. Bei der Prüfung wird das im Hash-String gespeicherte Salt wiederverwendet, sodass jeder dieser Hashes korrekt verglichen wird.
Welche Kosten (Runden) sollte ich verwenden?
Normalerweise 10–12. Jede Erhöhung verdoppelt die Zeit, streben Sie also etwa 100–300 ms pro Hash auf Ihrer Serverhardware an.
Gibt es eine Begrenzung der Passwortlänge?
bcrypt verwendet nur die ersten 72 Bytes der Eingabe und ignoriert den Rest stillschweigend. Dieses Werkzeug warnt, wenn ein Passwort 72 UTF-8-Bytes überschreitet.