Verificatore bcrypt
Verificate se una password corrisponde a un hash bcrypt. Incollate la password e un hash $2a$, $2b$ o $2y$: lo strumento legge il salt e il costo dalla stringa, ricalcola l'hash e indica se corrisponde. Aiuta gli sviluppatori a risolvere problemi di accesso, verificare le migrazioni del database e testare hash generati con PHP, Node.js o Python. Gli hash con un costo superiore a 12 vengono rifiutati e la password non viene mai mostrata.
Domande frequenti
Come funziona la verifica bcrypt?
Lo strumento legge la versione, il costo e il salt dalla stringa hash, calcola l'hash della password con esattamente quelle impostazioni e confronta il risultato con l'hash memorizzato. Se sono identici, il risultato è «corrisponde», altrimenti «non corrisponde».
Quali formati hash sono supportati?
Lo strumento accetta il formato modulare crypt con i prefissi $2a$, $2b$ e $2y$, un costo a due cifre e 53 caratteri di salt e hash. Sono compatibili PHP password_hash, Node.js bcrypt e bcryptjs, Python bcrypt e Spring Security.
Perché il mio hash viene rifiutato?
L'hash deve essere composto esattamente da 60 caratteri nel formato $2b$10$ seguito da 53 caratteri dell'alfabeto bcrypt. Verificate che non sia stato troncato da una colonna del database o racchiuso tra virgolette. Gli hash con un costo superiore a 12 vengono rifiutati per mantenere rapido il servizio.
Posso provare un esempio noto?
Il vettore di test pubblicato di jBCrypt $2a$06$If6bvum7DFjUnE9p2uDeDu0YHzrHM6tf.iqN8.yx.jNN1ILEf7h0i corrisponde alla password abc. Inserendo entrambi si ottiene «corrisponde»; con qualsiasi altra password si ottiene «non corrisponde».
Perché il limite del costo è 12?
Verificare un hash costa quanto crearlo e ogni incremento del costo raddoppia il tempo necessario. I costi superiori a 12 possono richiedere diversi secondi, quindi lo strumento li rifiuta per evitare di sovraccaricare il server.
Il verificatore mostra o memorizza la mia password?
No. La risposta contiene solo l'hash e il risultato, mai la password. Non viene registrato né salvato nulla.
Esiste una lunghezza massima per la password?
bcrypt legge solo i primi 72 byte di una password e questo strumento rifiuta quelle più lunghe invece di troncarle. Se il vostro sistema ha troncato una password più lunga durante la creazione dell'hash, inseritene solo i primi 72 byte.
Qual è la differenza tra $2a$, $2b$ e $2y$?
Indicano correzioni a bug delle vecchie implementazioni: $2y$ deriva dalla correzione crypt_blowfish di PHP, mentre $2b$ deriva dalla correzione di OpenBSD per le password lunghe. Per le password valide fino a 72 byte calcolano lo stesso hash, quindi lo strumento li verifica tutti e tre.
Posso verificare qui hash di altri algoritmi?
No. Questo strumento verifica solo hash bcrypt. Per le stringhe che iniziano con $argon2 usate Argon2 Verifier.
Perché un nuovo hash bcrypt della mia password non corrisponde a quello memorizzato?
Ogni hash bcrypt usa un nuovo salt casuale, quindi due hash della stessa password sono sempre stringhe diverse. Per questo la verifica ricalcola l'hash usando il salt memorizzato invece di confrontare due hash.