Bcrypt Verifier
Prüfe, ob ein Passwort zu einem bcrypt-Hash passt. Füge das Passwort und einen Hash mit dem Präfix $2a$, $2b$ oder $2y$ ein. Das Tool liest Salt und Kostenfaktor aus der Zeichenfolge, berechnet den Hash erneut und gibt zurück, ob sie übereinstimmen. Es hilft Entwicklern, Anmeldeprobleme zu beheben, Datenbankmigrationen zu bestätigen und Hashes aus PHP, Node.js oder Python zu testen. Hashes mit einem Kostenfaktor über 12 werden abgelehnt und das Passwort wird niemals ausgegeben.
Häufig gestellte Fragen
Wie funktioniert die bcrypt-Überprüfung?
Das Tool liest Version, Kostenfaktor und Salt aus der Hash-Zeichenfolge, hasht dein Passwort mit genau diesen Einstellungen und vergleicht das Ergebnis mit dem gespeicherten Hash. Sind sie identisch, lautet das Ergebnis „Übereinstimmung“, andernfalls „Keine Übereinstimmung“.
Welche Hash-Formate werden unterstützt?
Das Tool akzeptiert das modulare Crypt-Format mit den Präfixen $2a$, $2b$ und $2y$, einem zweistelligen Kostenfaktor sowie 53 Zeichen für Salt und Hash. Dazu gehören PHP password_hash, Node.js bcrypt und bcryptjs, Python bcrypt und Spring Security.
Warum wird mein Hash abgelehnt?
Der Hash muss genau 60 Zeichen lang sein und dem Format $2b$10$ gefolgt von 53 Zeichen aus dem bcrypt-Alphabet entsprechen. Prüfe, ob er durch eine Datenbankspalte abgeschnitten oder in Anführungszeichen gesetzt wurde. Hashes mit einem Kostenfaktor über 12 werden abgelehnt, damit der Dienst schnell bleibt.
Kann ich ein bekanntes Beispiel ausprobieren?
Der veröffentlichte jBCrypt-Testvektor $2a$06$If6bvum7DFjUnE9p2uDeDu0YHzrHM6tf.iqN8.yx.jNN1ILEf7h0i gehört zum Passwort abc. Wenn du beides eingibst, lautet das Ergebnis „Übereinstimmung“. Bei jedem anderen Passwort lautet es „Keine Übereinstimmung“.
Warum liegt der Kostenfaktor bei höchstens 12?
Die Überprüfung eines Hashes kostet genauso viel wie seine Erstellung, und jeder Schritt beim Kostenfaktor verdoppelt die Dauer. Werte über 12 können mehrere Sekunden dauern. Deshalb lehnt das Tool sie ab, damit sie den Server nicht blockieren.
Zeigt oder speichert der Prüfer mein Passwort?
Nein. Die Antwort enthält nur den Hash und das Ergebnis, niemals das Passwort. Es wird nichts protokolliert oder gespeichert.
Gibt es eine maximale Passwortlänge?
bcrypt liest nur die ersten 72 Bytes eines Passworts. Dieses Tool lehnt längere Passwörter ab, statt sie abzuschneiden. Wenn dein System ein längeres Passwort beim Erstellen des Hashes abgeschnitten hat, gib nur die ersten 72 Bytes ein.
Was ist der Unterschied zwischen $2a$, $2b$ und $2y$?
Sie kennzeichnen Korrekturen für Fehler in älteren Implementierungen: $2y$ stammt aus der Fehlerbehebung crypt_blowfish von PHP, und $2b$ aus der Korrektur von OpenBSD für lange Passwörter. Für gültige Passwörter mit bis zu 72 Bytes berechnen sie denselben Hash. Daher überprüft das Tool alle drei.
Kann ich hier Hashes anderer Algorithmen überprüfen?
Nein. Dieses Tool prüft nur bcrypt-Hashes. Verwende für Zeichenfolgen, die mit $argon2 beginnen, den Argon2 Verifier.
Warum ist ein neuer bcrypt-Hash meines Passworts nicht identisch mit dem gespeicherten?
Jeder bcrypt-Hash verwendet ein neues, zufälliges Salt. Deshalb ergeben zwei Hashes desselben Passworts immer unterschiedliche Zeichenfolgen. Bei der Überprüfung wird der Hash mit dem gespeicherten Salt neu berechnet, statt zwei Hashes miteinander zu vergleichen.