Bcrypt 생성기

bcrypt는 Blowfish 암호를 기반으로 한 1999의 비밀번호 해싱 함수입니다. 임의의 솔트와 조정 가능한 비용을 결합하므로 비용이 한 단계 증가할 때마다 공격자가 추측을 시도하는 데 드는 작업량이 두 배가 됩니다. 비밀번호 저장에 널리 지원되는 선택지로 계속 사용되고 있습니다.

$2a$10$ 뒤에 53자가 오는 해시에는 버전 2a, 비용 10, 22자 솔트, 31자 해시가 포함되며, 모두 bcrypt 고유의 Base64 문자 집합으로 표현됩니다. 검증기가 솔트와 비용을 문자열에서 읽으므로 전체 문자열을 저장하세요.

이 도구는 비용을 4~12로 설정할 수 있으며, 일반적인 프레임워크 기본값인 10을 사용합니다. 단계마다 시간이 두 배로 늘어나므로 비용 12는 비용 10보다 약 4배 오래 걸립니다. 프로덕션에서는 서버가 대략 100~250밀리초 안에 처리할 수 있는 가장 높은 비용을 선택하세요.

비용이 더 높으면 해시 하나에 몇 초가 걸려 요청 하나가 서버를 오랫동안 점유할 수 있습니다. 비용 12도 대부분의 애플리케이션에 충분히 강력하며, 필요하면 자체 환경에서 더 높은 비용으로 다시 해시할 수 있습니다.

이 도구는 해시를 만들 때마다 새로운 임의의 16바이트 솔트를 생성합니다. 솔트가 다르면 문자열도 달라지지만, 모두 같은 비밀번호로 검증됩니다. 이렇게 하면 공격자가 미리 계산된 테이블을 사용하는 것을 막을 수 있습니다.

예. bcrypt는 비밀번호의 처음 72바이트만 사용하므로, 나머지를 조용히 무시하는 대신 더 긴 비밀번호는 거부합니다. UTF-8에서 ASCII가 아닌 문자는 각각 여러 바이트를 차지합니다.

예. PHP password_verify, Laravel, Symfony 및 password_hash를 사용하는 WordPress 플러그인은 $2a$, $2b$, $2y$ 해시를 사용할 수 있으며, 이 형식들은 과거 버그 수정 사항만 다릅니다. Node.js bcrypt, bcryptjs, Python bcrypt, Spring Security도 $2a$를 사용할 수 있습니다.

아니요. 요청을 처리하는 동안 해시를 계산하는 데만 비밀번호를 사용합니다. 응답에서 제거되며 로그나 저장소에 기록되지 않습니다.

Argon2id는 메모리 집약적이라 GPU 공격 비용을 높이므로 OWASP가 새롭게 권장하는 방식입니다. bcrypt도 여전히 사용할 수 있고 지원하는 라이브러리가 매우 많아, Argon2를 사용할 수 없다면 적절한 선택입니다.

이 사이트의 Bcrypt Verifier를 사용하거나 프레임워크의 verify 함수를 호출하세요. bcrypt 문자열을 직접 비교하면 안 됩니다. 같은 비밀번호라도 새로 생성한 해시는 항상 다르게 보이기 때문입니다.