Argon2 Verifier
Prüfe, ob ein Passwort zu einem Argon2-Hash passt. Füge das Passwort und einen PHC-String wie $argon2id$v=19$m=65536 ein. Das Werkzeug liest Variante, Speicher, Iterationen, Lanes und Salt aus, berechnet den Hash neu und meldet, ob er übereinstimmt. Unterstützt werden Argon2id, Argon2i und Argon2d, Version 19, bis zu 64 MiB, 4 Iterationen und 8 Lanes. Das Passwort wird niemals zurückgegeben.
Häufig gestellte Fragen
Wie funktioniert die Argon2-Prüfung?
Das Werkzeug liest Variante, Version, Speicher, Iterationen, Parallelität und Salt aus dem PHC-String aus. Anschließend hasht es dein Passwort mit genau diesen Einstellungen und vergleicht das Ergebnis mit dem gespeicherten Hash.
Welche Hashes kann ich prüfen?
Das Werkzeug prüft Argon2id-, Argon2i- und Argon2d-Hashes der Version 19 (0x13) im PHC-String-Format. Sie werden von PHP password_hash, libsodium, argon2-cffi, dem Node.js-Paket argon2 und dem Argon2 Generator auf dieser Website erzeugt.
Welche Grenzen gelten?
Der Hash darf höchstens 64 MiB Speicher (m=65536), 4 Iterationen und 8 Lanes verwenden. Diese Grenzen decken den Standardwert m=65536,t=4,p=1 von PHP und den Standardwert m=65536,t=3,p=4 von argon2-cffi ab. Hashes mit höheren Anforderungen werden mit einer Erklärung abgewiesen.
Kann ich einen veröffentlichten Beispielhash testen?
Der Testhash der Referenzimplementierung $argon2id$v=19$m=65536,t=2,p=1$c29tZXNhbHQ$CTFhFdXPJO1aFaMaO6Mm5c8y7cJHAph8ArZWb2GRPPc gehört zum Passwort password und zum Salt somesalt. Wenn du beides eingibst, lautet das Ergebnis „Übereinstimmung“.
Warum wird mein Hash als ungültig abgewiesen?
Der String muss mit $argon2id$, $argon2i$ oder $argon2d$ beginnen, gefolgt von v=19 und dann m, t und p, durch Kommas getrennt, sowie dem Salt und Hash Base64. Hashes mit Leerzeichen, Anführungszeichen oder fehlenden Bestandteilen werden abgewiesen. Ältere Hashes der Version 16 ohne v=-Angabe werden nicht unterstützt.
Bleibt mein Passwort geheim?
Ja. Die Antwort enthält nur das Ergebnis und den eingegebenen Hash, niemals das Passwort. Es wird nichts gespeichert oder protokolliert.
Bedeutet ein Ergebnis ohne Übereinstimmung, dass der Hash beschädigt ist?
Meist bedeutet es, dass sich das Passwort unterscheidet, etwa durch ein abschließendes Leerzeichen oder eine andere Groß- und Kleinschreibung. Manche Systeme fügen vor dem Hashen auch einen Pepper oder einen geheimen Schlüssel hinzu, den dieser Prüfer nicht kennen kann.
Wie lange dauert eine Prüfung?
Die Prüfung ist genauso aufwendig wie das Erstellen des Hashes und dauert innerhalb der oben genannten Grenzen normalerweise deutlich weniger als eine Sekunde. Sehr hohe Speicherwerte werden deshalb abgewiesen.
Unterstützt dieses Werkzeug libsodium-Hashes?
Ja. crypto_pwhash_str von libsodium schreibt Argon2id-PHC-Strings. Die interaktive Voreinstellung verwendet 64 MiB und 2 Iterationen und lässt sich hier prüfen. Die moderaten und sensiblen Voreinstellungen überschreiten die Grenze von 64 MiB.
Kann ich hier bcrypt-Hashes prüfen?
Nein. Verwende für Hashes, die mit $2a$, $2b$ oder $2y$ beginnen, den Bcrypt Verifier.