Bcrypt हैश और सत्यापन

अक्सर पूछे जाने वाले प्रश्न

उत्पादन में कौन-सा कॉस्ट फ़ैक्टर इस्तेमाल करूँ?

शास्त्रीय सलाह: जितना आपका लॉगिन-विलंब बजट सहे, आजकल आमतौर पर 10–13। अपने उत्पादन हार्डवेयर पर प्रति हैश 100–300 मि.से. का लक्ष्य रखिए। ब्राउज़र का JavaScript नेटिव कोड से धीमा चलता है, इसलिए यहाँ दिखा समय आपके सर्वरों के लिए ऊपरी सीमा है।

वही पासवर्ड हर बार अलग हैश क्यों देता है?

हर हैश के लिए 16 बाइट का यादृच्छिक salt बनता है और वह हैश स्ट्रिंग के भीतर ही रखा जाता है। यह जान-बूझकर है — एक जैसे पासवर्ड अलग हैश पाते हैं, जिससे पहले से बनी रेनबो टेबल बेकार हो जाती हैं। सत्यापन के समय salt वापस हैश से पढ़ लिया जाता है, इसीलिए मिलान काम करता है।

bcrypt हैश के हिस्सों का क्या अर्थ है?

$2b$12$ + 53 वर्ण: 2b एल्गोरिथ्म का संस्करण है, 12 कॉस्ट (2^12 चक्कर), अगले 22 वर्ण salt, और अंतिम 31 डाइजेस्ट — सब कुछ bcrypt की अपनी base64 वर्णमाला में। टूल के नीचे का निरीक्षक किसी भी हैश को इसी तरह तोड़ देता है।

क्या Argon2 के मुक़ाबले bcrypt अब भी अनुशंसित है?

नई प्रणालियों के लिए आज पहली पसंद Argon2id है (मेमोरी-कठोरता GPU से क्रैकिंग का प्रतिरोध करती है)। bcrypt अब भी स्वीकार्य और सर्वव्यापी है — व्यावहारिक सलाह यह है: चल रहे bcrypt संग्रह को घबराकर मत बदलिए, पर नई डिज़ाइन के लिए Argon2id चुनिए। दोनों ही SHA-256 जैसे तेज़ हैश से कोसों आगे हैं।