Хешування й перевірка bcrypt
Хешуйте паролі за допомогою bcrypt і звіряйте хеші з відкритим текстом
Про цей інструмент
Захешуйте пароль за допомогою bcrypt з обраним фактором складності або звірте відкритий текст із наявним хешем — і те, і те повністю в браузері, а це саме те, чого хочеться, коли предметом перевірки є пароль. Інспектор хешів до того ж розкладає будь-який хеш bcrypt на версію, складність і сіль.
Bcrypt лишається надійним вибором для зберігання паролів, бо він свідомо повільний і має власну сіль для кожного пароля: фактор складності подвоює роботу з кожним кроком, тож складність 12 означає 4096 ітерацій налаштування базового шифру. Показник часу демонструє, скільки триває обрана вами складність, роблячи компроміс між безпекою та затримкою відчутним.
Перевірка — частіша щоденна потреба: підтвердити, що хеш у базі даних відповідає відомому паролю, не запускаючи код застосунку. Вставте обидва — отримайте «так» або «ні».
Часті запитання
- Який фактор складності використовувати в продакшені?
- Класична порада: настільки високий, наскільки дозволяє ваш бюджет затримки на вхід, сьогодні зазвичай 10–13. Орієнтуйтеся на 100–300 мс на хеш на вашому робочому обладнанні. JavaScript у браузері працює повільніше за нативний код, тож показаний тут час — верхня межа для ваших серверів.
- Чому той самий пароль щоразу дає інший хеш?
- На кожен хеш генерується випадкова 16-байтова сіль, яка зберігається в самому рядку хеша. Так і задумано — однакові паролі отримують різні хеші, що знищує заздалегідь обчислені веселкові таблиці. Під час перевірки сіль зчитується назад із хеша, і саме тому порівняння працює.
- Що означають частини хеша bcrypt?
- $2b$12$ + 53 символи: 2b — версія алгоритму, 12 — складність (2^12 ітерацій), наступні 22 символи — сіль, а останній 31 — дайджест, і все це у власній абетці base64 від bcrypt. Інспектор під інструментом розкладає будь-який хеш саме так.
- Чи досі bcrypt рекомендують понад Argon2?
- Argon2id — сьогоднішній перший вибір для нових систем (вимогливість до пам’яті протистоїть зламу на GPU). Bcrypt лишається прийнятним і всюдисущим — практична порада така: не мігруйте панічно робоче сховище на bcrypt, але для нових проєктів беріть Argon2id. Обидва на голову вищі за швидкі хеші на кшталт SHA-256.