Bcrypt Oluşturucu
Rastgele 16 baytlık tuz ve 4 ile 12 arasında bir maliyet faktörüyle bcrypt parola hash'i oluşturun. Araç, $2a$ ile başlayan standart modüler şifreleme dizesini döndürür; bu dizeyi PHP password_verify, Node.js bcrypt, Spring Security ve çoğu çatı kabul eder. Test kullanıcıları oluşturmak, veritabanında yönetici parolasını sıfırlamak veya kendi hash kodunuzu denetlemek için kullanın. Parola asla yanıtta gösterilmez veya saklanmaz.
Sık sorulan sorular
bcrypt nedir?
Bcrypt, Blowfish şifresini temel alan, 1999 tarafından geliştirilmiş bir parola hash'leme işlevidir. Rastgele bir tuzu ayarlanabilir maliyetle birleştirir; böylece her ek maliyet adımı, saldırganın her tahmin için harcaması gereken işi ikiye katlar. Parola saklama için yaygın biçimde desteklenen bir seçenek olmaya devam eder.
Çıktı dizesi ne anlama geliyor?
$2a$10$ ile başlayıp 53 karakterle devam eden bir hash; sürüm 2a'yı, maliyet 10'u, 22 karakterlik bir tuzu ve 31 karakterlik bir hash'i içerir. Bunların tümü bcrypt'in kendi Base64 alfabesindedir. Dizgenin tamamını saklayın; doğrulayıcı tuzu ve maliyeti bu dizgeden okur.
Hangi maliyet faktörünü seçmeliyim?
Araç 4 ile 12 arasında bir maliyete izin verir ve yaygın bir çatı varsayılanı olan 10'u kullanır. Her adım süreyi ikiye katlar; bu nedenle maliyet 12, maliyet 10'dan yaklaşık dört kat uzun sürer. Üretim ortamında, sunucularınızın yaklaşık 100 ile 250 milisaniye içinde işleyebileceği en yüksek maliyeti seçin.
Maliyet neden 12 ile sınırlı?
Daha yüksek maliyetler her hash için saniyeler sürer ve tek bir isteğin sunucuyu uzun süre meşgul etmesine yol açar. Maliyet 12 çoğu uygulama için zaten güçlüdür; gerekirse kendi ortamınızda daha yüksek bir maliyetle yeniden hash oluşturabilirsiniz.
Aynı parola neden her seferinde farklı bir hash üretiyor?
Araç her hash için yeni ve rastgele 16 baytlık bir tuz oluşturur. Farklı tuzlar farklı dizeler üretir; ancak tümü aynı parolayla doğrulanır. Bu, saldırganların önceden hesaplanmış tablolar kullanmasını engeller.
Parola uzunluğu sınırı var mı?
Evet. Bcrypt bir parolanın yalnızca ilk 72 baytını kullanır; bu nedenle araç kalan kısmı sessizce yok saymak yerine daha uzun parolaları reddeder. ASCII dışındaki karakterler UTF-8'de birkaç bayt yer kaplar.
PHP veya Laravel, $2a$ hash'ini kabul eder mi?
Evet. password_hash kullanan PHP password_verify, Laravel, Symfony ve WordPress eklentileri $2a$, $2b$ ve $2y$ hash'lerini kabul eder; bunlar yalnızca geçmişteki hata düzeltmeleri bakımından farklıdır. Node.js bcrypt, bcryptjs, Python bcrypt ve Spring Security de $2a$ biçimini kabul eder.
Parolam saklanıyor veya günlüğe kaydediliyor mu?
Hayır. Parola yalnızca istek sırasında özeti hesaplamak için kullanılır. Yanıttan çıkarılır ve günlüklere ya da depolamaya hiçbir zaman yazılmaz.
bcrypt mi, Argon2 mi kullanmalıyım?
Argon2id, bellek yoğun çalıştığı ve GPU saldırılarının maliyetini artırdığı için OWASP'ın daha yeni önerisidir. bcrypt hâlâ kabul edilebilir ve çok geniş bir kütüphane desteğine sahiptir; bu nedenle Argon2 kullanılamadığında sağlam bir seçenektir.
Bir parolayı bcrypt özetiyle nasıl karşılaştırabilirim?
Bu sitedeki Bcrypt Doğrulayıcı'yı kullanın veya çerçevenizin verify işlevini çağırın. bcrypt dizelerini asla doğrudan karşılaştırmayın; aynı parolanın yeni bir özeti her zaman farklı görünür.