Bcrypt generatorius
Sukurkite bcrypt slaptažodžio maišą su atsitiktine 16 baitų druska ir sąnaudų koeficientu nuo 4 iki 12. Įrankis pateikia standartinę modulinę kriptografinę eilutę, prasidedančią $2a$, kurią priima PHP password_verify, Node.js bcrypt, Spring Security ir dauguma karkasų. Naudokite ją bandomiesiems naudotojams paruošti, administratoriaus slaptažodžiui duomenų bazėje nustatyti iš naujo arba savo maišos kodui patikrinti. Slaptažodis niekada neparodomas ir nesaugomas.
Dažnai užduodami klausimai
Kas yra bcrypt?
Bcrypt yra slaptažodžių maišos funkcija iš 1999, pagrįsta Blowfish šifru. Ji sujungia atsitiktinę druską su reguliuojamomis sąnaudomis, todėl kiekvienas papildomas sąnaudų žingsnis padvigubina užpuolikui reikalingą darbą kiekvienam spėjimui. Ši funkcija tebėra plačiai palaikomas pasirinkimas slaptažodžiams saugoti.
Ką reiškia išvesties eilutė?
Maišo eilutėje, pavyzdžiui, $2a$10$, po kurios eina 53 simboliai, nurodyta versija 2a, sąnaudų lygis 10, 22 simbolių druska ir 31 simbolio maiša, užkoduoti bcrypt abėcėle Base64. Saugokite visą eilutę, nes tikrintuvas iš jos nuskaito druską ir sąnaudų lygį.
Kokį sąnaudų koeficientą pasirinkti?
Įrankis leidžia pasirinkti sąnaudų koeficientą nuo 4 iki 12; numatytoji reikšmė yra 10, dažna karkasų numatytoji reikšmė. Kiekvienas žingsnis padvigubina laiką, todėl 12 lygio sąnaudos užtrunka maždaug keturis kartus ilgiau nei 10 lygio. Gamybinėje aplinkoje pasirinkite didžiausias sąnaudas, kurias jūsų serveriai gali apdoroti maždaug per 100–250 milisekundžių.
Kodėl sąnaudų koeficientas ribojamas iki 12?
Esant didesnėms sąnaudoms, vienos maišos apskaičiavimas užtrunka kelias sekundes, todėl viena užklausa galėtų ilgam užimti serverį. 12 lygio sąnaudos jau yra pakankamai didelės daugumai programų; jei reikia, savo aplinkoje galite iš naujo apskaičiuoti maišas su didesniu koeficientu.
Kodėl tas pats slaptažodis kaskart sukuria kitokią maišą?
Kiekvienai maišai įrankis sukuria naują atsitiktinę 16 baitų druską. Skirtingos druskos duoda skirtingas eilutes, tačiau visos jos patikrinamos tuo pačiu slaptažodžiu. Taip užkertamas kelias užpuolikams naudoti iš anksto apskaičiuotas lenteles.
Ar taikomas slaptažodžio ilgio apribojimas?
Taip. Bcrypt naudoja tik pirmuosius 72 slaptažodžio baitus, todėl įrankis atmeta ilgesnius slaptažodžius, užuot tyliai ignoravęs likusią dalį. Ne ASCII simboliai UTF-8 formatu užima po kelis baitus.
Ar PHP arba Laravel priims $2a$ maišą?
Taip. PHP password_verify, Laravel, Symfony ir WordPress papildiniai, naudojantys password_hash, priima $2a$, $2b$ ir $2y$ maišas; jos skiriasi tik dėl istorinių klaidų pataisymų. Node.js bcrypt, bcryptjs, Python bcrypt ir Spring Security taip pat priima $2a$.
Ar saugomas arba registruojamas mano slaptažodis?
Ne. Slaptažodis naudojamas tik maišai apskaičiuoti užklausos metu. Jis pašalinamas iš atsakymo ir niekada neįrašomas į žurnalus ar saugyklą.
Ar turėčiau naudoti bcrypt, ar Argon2?
OWASP rekomenduoja naujesnį Argon2id, nes jam reikia daug atminties, todėl atakos naudojant GPU tampa brangesnės. bcrypt vis dar yra tinkamas pasirinkimas ir turi labai platų bibliotekų palaikymą, tad tai patikimas variantas, kai Argon2 nėra prieinamas.
Kaip patikrinti slaptažodį pagal bcrypt maišą?
Naudokite šioje svetainėje esantį Bcrypt Verifier arba iškvieskite savo sistemos verify funkciją. Niekada nelyginkite bcrypt eilučių tiesiogiai, nes nauja to paties slaptažodžio maiša visada atrodo kitaip.