Haszuj hasło algorytmem bcrypt z kosztem od 4 do 14 albo sprawdź hasło z hashem
Działa w przeglądarce. Wpisane dane nie są nigdzie wysyłane.Bcrypt jest celowo powolny i właśnie dlatego wykradzioną bazę haseł trudno złamać. Ustawienie kosztu podwaja pracę na każdym kroku, tutaj od 4 do 14. Można utworzyć hash hasła albo sprawdzić hasło z istniejącym hashem. Wszystko działa lokalnie, więc żadne hasło nie jest przesyłane.
Ta strona została przetłumaczona maszynowo z angielskiego oryginału. Tłumaczenie nie zostało jeszcze sprawdzone przez człowieka, dlatego wiążąca jest wersja angielska. Przeczytaj angielski oryginał
Na karcie Hash wpisz hasło w polu Hasło lub tekst i ustaw Współczynnik kosztu; typowo 10 do 12.
Kliknij Hash i skopiuj nowy hash $2b$ przyciskiem Kopiuj.
Aby później sprawdzić hasło, otwórz kartę Weryfikuj i wklej hash w pole Hash bcrypt.
Wpisz hasło i kliknij Weryfikuj; wynik brzmi Zgodne lub Niezgodne.
Generator hashy bcrypt zamienia hasło w solony hash bcrypt z kosztem od 4 do 14 i sprawdza, czy hasło pasuje do istniejącego hasha. Każdy hash jest rozkładany na części: wersję, koszt, 22-znakową sól i 31-znakowy hash, aby było widać, co ciąg faktycznie przechowuje, razem z czasem obliczeń.
Programiści używają go do tworzenia znanego hasła administratora w danych początkowych lub testach, do potwierdzenia, że hash w bazie danych naprawdę należy do hasła, które według użytkownika zostało ustawione, oraz do wyboru współczynnika kosztu na podstawie czasu każdego kroku na zwykłym sprzęcie. Odczytuje też hashe z PHP ($2y$) i starszych bibliotek ($2a$).
Haszowanie działa w Web Workerze, czyli wątku w tle przeglądarki, z biblioteką bcryptjs, więc strona reaguje nawet przy koszcie 14. Nic nie jest przesyłane. Hasła i hashe nigdy nie są logowane ani zapisywane; zapamiętywany jest tylko wybrany koszt. Czasy są tu zbliżone do tych na serwerze Node.js z bcryptjs, a natywne biblioteki bcrypt są od dwóch do trzech razy szybsze.
Każdy krok kosztu podwaja pracę. Koszt 10 zajmuje na laptopie od jednej dziesiątej do jednej piątej sekundy; koszt 14 jest szesnaście razy wolniejszy, co odczuwa się przy każdym logowaniu obsługiwanym przez serwer. Większość systemów używa 10 do 12. bcrypt czyta tylko pierwsze 72 bajty hasła, a narzędzie ostrzega, gdy hasło jest dłuższe.
Powiązane narzędzia: Password Strength Checker, Password Generator, HMAC Generator.
Otwórz kartę Weryfikuj, wklej pełny 60-znakowy hash zaczynający się od $2a$, $2b$ lub $2y$, wpisz hasło i kliknij Weryfikuj. Narzędzie ponownie haszuje hasło z solą i kosztem zapisanymi w hashu i porównuje wynik. Pojawi się Zgodne lub Niezgodne wraz z czasem sprawdzenia.
Nie. bcrypt to funkcja jednokierunkowa, a nie szyfrowanie, więc nie istnieje klucz, który zamieni hash z powrotem w hasło. Hasło można znaleźć tylko zgadując kandydatów i haszując każdego z nich, co współczynnik kosztu celowo spowalnia. To narzędzie może sprawdzić przypuszczenie, ale nie odwróci hasha.
Każdy hash dostaje nową losową 16-bajtową sól, zapisaną jako 22 znaki po koszcie. Różne sole dają różne hashe, co nie pozwala atakującym łamać wielu użytkowników naraz przy użyciu wcześniej obliczonych tablic. Każdy z tych hashy nadal pasuje do hasła, ponieważ sól jest zapisana w samym hashu.
Najwyższy, na jaki stać serwer logowania, zwykle 10 do 12. Każdy krok podwaja czas, więc koszt 12 jest cztery razy wolniejszy niż 10. Warto celować w około ćwierć sekundy na hash na sprzęcie produkcyjnym i co kilka lat podnosić koszt, w miarę jak komputery przyspieszają.
Te trzy prefiksy oznaczają wersję. $2a$ to pierwotny, poprawiony format, $2b$ to obecny, który naprawia błąd długości w OpenBSD, a $2y$ to nazwa, jaką PHP nadaje poprawionemu wynikowi crypt_blowfish. Dla zwykłych haseł wszystkie trzy to ten sam algorytm i wszystkie są tu weryfikowane. $2x$ oznacza hashe ze starej, błędnej biblioteki i należy je zastąpić.
Nie. Haszowanie i weryfikacja działają w wątku w tle przeglądarki z biblioteką bcryptjs. Hasło i hash nie są nigdzie wysyłane, logowane ani zapisywane; na tym urządzeniu zapamiętywany jest tylko wybrany współczynnik kosztu. Zamknięcie karty usuwa wszystko, co zostało wpisane.
Nadal coś nie działa? Zapytaj o narzędzie Hash bcrypt i weryfikacja a odpowiedzieć może każdy, kto zna odpowiedź. Konto nie jest potrzebne.