Ein Passwort mit bcrypt bei Kosten 4 bis 14 hashen oder ein Passwort gegen einen Hash prüfen
Läuft in Ihrem Browser. Nichts, was Sie eingeben, wird irgendwohin gesendet.Bcrypt ist absichtlich langsam, und genau das macht eine gestohlene Passwortdatenbank schwer zu knacken. Die Kosteneinstellung verdoppelt den Aufwand mit jeder Stufe, hier von 4 bis 14. Hashen Sie ein Passwort oder prüfen Sie eines gegen einen vorhandenen Hash. Alles läuft lokal, kein Passwort wird übertragen.
Diese Seite wurde maschinell aus dem englischen Original übersetzt. Die Übersetzung wurde noch von keinem Menschen geprüft; maßgeblich ist die englische Fassung. Englisches Original lesen
Geben Sie im Tab Hashen das Passwort unter Passwort oder Text ein und stellen Sie den Kostenfaktor ein; 10 bis 12 ist üblich.
Klicken Sie auf Hashen und kopieren Sie den neuen $2b$-Hash mit seiner Schaltfläche Kopieren.
Um ein Passwort später zu prüfen, öffnen Sie den Tab Prüfen und fügen Sie den Hash in das Feld Bcrypt-Hash ein.
Geben Sie das Passwort ein und klicken Sie auf Prüfen; das Ergebnis lautet Treffer oder Kein Treffer.
Dieser bcrypt-Hash-Generator macht aus einem Passwort einen gesalzenen bcrypt-Hash mit Kosten von 4 bis 14 und prüft, ob ein Passwort zu einem vorhandenen Hash passt. Jeder Hash wird in seine Teile zerlegt, Version, Kosten, 22 Zeichen Salt und 31 Zeichen Hash, sodass Sie sehen, was die Zeichenkette tatsächlich speichert, zusammen mit der Rechenzeit.
Entwickler nutzen ihn, um ein bekanntes Admin-Passwort für Seed-Daten oder Testfixtures zu erzeugen, um zu bestätigen, dass ein Hash in einer Datenbank wirklich zu dem Passwort gehört, das ein Nutzer gesetzt haben will, und um einen Kostenfaktor zu wählen, indem sie sehen, wie lange jede Stufe auf normaler Hardware dauert. Er liest auch Hashes aus PHP ($2y$) und älteren Bibliotheken ($2a$).
Das Hashen läuft in einem Web Worker, einem Hintergrund-Thread in Ihrem Browser, mit der Bibliothek bcryptjs, sodass die Seite auch bei Kosten 14 reaktionsfähig bleibt. Nichts wird hochgeladen. Passwörter und Hashes werden nie protokolliert oder gespeichert; nur die gewählten Kosten werden gemerkt. Die Zeiten hier liegen nahe an dem, was ein Node.js-Server mit bcryptjs sehen würde; native bcrypt-Bibliotheken sind zwei- bis dreimal schneller.
Jede Kostenstufe verdoppelt den Aufwand. Kosten 10 brauchen auf einem Laptop etwa ein Zehntel bis ein Fünftel Sekunde; Kosten 14 sind sechzehnmal langsamer, was bei jeder Anmeldung auf Ihrem Server spürbar ist. Die meisten Systeme verwenden 10 bis 12. bcrypt liest nur die ersten 72 Byte eines Passworts, und das Werkzeug warnt, wenn Ihres länger ist.
Verwandte Werkzeuge: Password Strength Checker, Password Generator, HMAC Generator.
Öffnen Sie den Tab Prüfen, fügen Sie den vollständigen Hash mit 60 Zeichen ein, der mit $2a$, $2b$ oder $2y$ beginnt, geben Sie das Passwort ein und klicken Sie auf Prüfen. Das Werkzeug hasht das Passwort erneut mit dem Salt und den Kosten aus dem Hash und vergleicht das Ergebnis. Sie sehen Treffer oder Kein Treffer sowie die benötigte Zeit.
Nein. bcrypt ist eine Einwegfunktion, keine Verschlüsselung, es gibt also keinen Schlüssel, der den Hash wieder in das Passwort verwandelt. Das Passwort lässt sich nur finden, indem man Kandidaten rät und jeden hasht, was der Kostenfaktor absichtlich verlangsamt. Dieses Werkzeug kann eine Vermutung prüfen, aber keinen Hash umkehren.
Jeder Hash erhält ein neues zufälliges Salt von 16 Byte, gespeichert als die 22 Zeichen nach den Kosten. Verschiedene Salts ergeben verschiedene Hashes, was Angreifer daran hindert, viele Nutzer auf einmal mit vorberechneten Tabellen zu knacken. Jeder dieser Hashes passt trotzdem zum Passwort, weil das Salt im Hash mitreist.
Wählen Sie die höchsten Kosten, die Ihr Anmeldeserver verkraftet, meist 10 bis 12. Jede Stufe verdoppelt die Zeit, Kosten 12 sind also viermal langsamer als 10. Zielen Sie auf etwa eine Viertelsekunde pro Hash auf Ihrer Produktionshardware und erhöhen Sie die Kosten alle paar Jahre, wenn Rechner schneller werden.
Diese drei Präfixe sind Versionskennungen. $2a$ ist das ursprüngliche, korrigierte Format, $2b$ das aktuelle, das einen Längenfehler in OpenBSD behebt, und $2y$ ist PHPs Name für die korrigierte crypt_blowfish-Ausgabe. Für normale Passwörter ist es bei allen dreien derselbe Algorithmus, und alle lassen sich hier prüfen. $2x$ kennzeichnet Hashes aus einer alten fehlerhaften Bibliothek und sollte ersetzt werden.
Nein. Hashen und Prüfen laufen in einem Hintergrund-Thread in Ihrem Browser mit der Bibliothek bcryptjs. Passwort und Hash werden nirgendwohin gesendet, nicht protokolliert und nicht gespeichert; nur der gewählte Kostenfaktor wird auf diesem Gerät gemerkt. Wenn Sie den Tab schließen, ist alles Eingegebene weg.
Kommen Sie nicht weiter? Fragen Sie zu Bcrypt-Hash erzeugen und prüfen und jeder, der es weiß, kann antworten. Kein Konto nötig.