Bcrypti generaator
Looge bcrypt-parooliräsi juhusliku 16-baidise soola ja kuluteguriga vahemikus 4 kuni 12. Tööriist tagastab standardse modulaarse krüptosõne, mis algab $2a$-ga ning mida aktsepteerivad PHP password_verify, Node.js bcrypt, Spring Security ja enamik raamistikke. Kasutage seda testkasutajate loomiseks, andmebaasis administraatori parooli lähtestamiseks või oma räsimiskoodi kontrollimiseks. Parooli ei kuvata ega salvestata kunagi.
Korduma kippuvad küsimused
Mis on bcrypt?
Bcrypt on paroolide räsifunktsioon, mille 1999 töötas välja Blowfishi šifri põhjal. See ühendab juhusliku soola muudetava kuluga, nii et iga kulusamm kahekordistab tööd, mida ründaja peab iga arvamise jaoks tegema. See on paroolide salvestamisel endiselt laialdaselt toetatud valik.
Mida väljundstring tähendab?
Räsi, näiteks $2a$10$ ja sellele järgnevad 53 märki, sisaldab versiooni 2a, kulu 10, 22-märgilist soola ja 31-märgilist räsi, kõik bcrypti enda Base64 tähestikus. Salvestage kogu string, sest kontrollija loeb sellest soola ja kulu.
Millise kuluteguri peaksin valima?
Tööriist lubab kulutegurit vahemikus 4 kuni 12 ja kasutab vaikimisi väärtust 10, mis on levinud raamistike vaikeväärtus. Iga samm kahekordistab aega, seega võtab kulu 12 umbes neli korda kauem kui kulu 10. Tootmiskeskkonnas valige suurim kulu, mida teie serverid suudavad töödelda ligikaudu 100 kuni 250 millisekundiga.
Miks on kulu piiratud väärtusega 12?
Suurema kuluga räsimine võtab sekundeid ja võimaldaks ühel päringul serverit pikaks ajaks hõivata. Kulu 12 on enamiku rakenduste jaoks juba piisavalt tugev ning vajadusel saate oma keskkonnas räsida uuesti suurema kuluga.
Miks annab sama parool iga kord erineva räsi?
Tööriist loob iga räsi jaoks uue juhusliku 16-baidise soola. Erinevad soolad annavad erinevad stringid, kuid kõik need vastavad sama parooli kontrollimisel. Nii ei saa ründajad kasutada eelnevalt arvutatud tabeleid.
Kas parooli pikkusel on piirang?
Jah. Bcrypt kasutab paroolist ainult esimesi 72 baiti, seega lükkab tööriist pikemad paroolid tagasi, selle asemel et ülejäänut vaikselt eirata. Mitte-ASCII märgid võtavad UTF-8-s mitu baiti.
Kas PHP või Laravel aktsepteerib $2a$ räsi?
Jah. PHP password_verify, Laravel, Symfony ja WordPress-i laiendused, mis kasutavad funktsiooni password_hash, aktsepteerivad $2a$, $2b$ ja $2y$ räsisid, mis erinevad ainult ajalooliste veaparanduste poolest. Node.js bcrypt, bcryptjs, Python bcrypt ja Spring Security aktsepteerivad samuti $2a$.
Kas mu parool salvestatakse või logitakse?
Ei. Parooli kasutatakse ainult räsi arvutamiseks päringu ajal. See eemaldatakse vastusest ning seda ei kirjutata kunagi logidesse ega salvestusruumi.
Kas peaksin kasutama bcrypti või Argon2-t?
OWASP soovitab uuema lahendusena Argon2id-d, sest see vajab palju mälu, mis muudab GPU-ründed kulukamaks. Bcrypt on endiselt sobiv ja sellel on väga lai teegitugi, seega on see hea valik, kui Argon2 pole saadaval.
Kuidas kontrollida parooli bcrypt-räsi vastu?
Kasutage sellel saidil Bcrypt Verifierit või kutsuge oma raamistiku verify-funktsiooni. Ärge kunagi võrrelge bcrypti stringe otse, sest sama parooli uus räsi näeb alati erinev välja.