Ingyenes konverter
Titkos jelszó Generátor
Azonnal generálhat biztonságos titkosítási jelszókivonatokat a böngészőjében. Válassza ki költségtényezőjét és kivonatjelszavait az ügyféloldalon – teljesen privát és ingyenes.
Azonnal generálhat biztonságos titkosítási jelszókivonatokat a böngészőjében. Válassza ki költségtényezőjét és kivonatjelszavait az ügyféloldalon – teljesen privát és ingyenes.
A bcrypt egy Niels Provos és David Mazières által 1999-ben tervezett jelszó-kivonatoló funkció, amely a Blowfish titkosításból származik. Ellentétben az általános célú hash-függvényekkel, mint például az SHA-256, a bcrypt szándékosan lassú – és egy költségparaméteren keresztül konfigurálhatóan lassú –, ami pontosan az a tulajdonság, amelyre a jelszókivonatnak szüksége van. A gyorsabb hash funkció lehetővé teszi a támadók számára, hogy másodpercenként több jelöltet erőszakkal kényszerítsenek ki; egy lassabb korlátozza őket.
A bcrypt a jelszavankénti sót is automatikusan beépíti, kiküszöbölve az előre kiszámított szivárványtáblákon alapuló támadások egész osztályát. A só és költség paraméter a bcrypt kimenet részeként kerül tárolásra, így az ellenőrzéshez csak a tárolt hashre és a jelölt jelszóra van szükség – külön sókezelés nélkül. A lassúság, a sózás és az önálló formátum kombinációja tette a bcrypt-et az alapértelmezett jelszókivonattá két évtizedre, és napjainkban is erős választássá vált.
Léteznek modern alternatívák. Az Argon2 megnyerte a 2015-ös Jelszókivonat-versenyt, és az időkeménység mellett memóriakeménységet is kínál. A scrypt hasonló tulajdonságokat kínál. Új dizájnokhoz az Argon2id a javasolt választás. A bcrypt továbbra is elfogadható és széles körben elterjedt, különösen olyan környezetekben, ahol az Argon2 nem érhető el.
A jelszavak egyszerű szövegként való tárolása visszaélés. Az SHA-256-hoz hasonló gyors kivonattal való tárolás aligha jobb – a modern GPU-k több milliárd SHA-256 hash-t számolnak ki másodpercenként, így bármely általános jelszó elleni brute-force támadást órákon belül végrehajtanak. A bcrypt szándékos lassúsága megváltoztatja a gazdaságot: a 12-es költségtényező mellett a támadó nagyjából 250 ms-ot költ jelszavanként, így a brute force alkalmazása nem használható bármilyen nem triviális jelszó esetén.
A bcrypt automatikus jelszavankénti sója a szivárványtábla támadásait is legyőzi. Két azonos jelszóval rendelkező felhasználó különböző bcrypt-kivonatokat hoz létre, mivel a sóik eltérőek. A jelszóadatbázis kompromittálása nem teszi lehetővé a támadók számára, hogy gyorsan azonosítsák a gyakori jelszavakat vagy az előre kiszámított tábla találatait.
Írjon be egy jelszót, válassza ki a költséget, és szerezze be a hash-t.
A bcrypt egy módosított Blowfish titkosítási kulcsbeállítási fázist használ, 2^cost alkalommal ismételve. A költségtényező logaritmikus – a 12-es költség kétszer olyan lassú, mint a 11-es, négyszer olyan, mint a 10-es költség. Ez a logaritmikus skálázás lehetővé teszi a rendszergazdák számára, hogy a rendszer újratervezése nélkül növeljék a költségeket idővel a hardver fejlesztésével.
A kimeneti formátum: $verzió$költség$saltAndHash, ahol a saltAndHash base64-kódolású egyéni ábécével. A verzió jellemzően $2b$ (a modern változat az átfogó hiba javításával) vagy $2y$ (PHP-specifikus, azzal egyenértékű). A só 16 bájt; a hash 24 bájt; együtt 53 karakteres custom-base64-re kódolnak.
A maximális bemeneti hossz 72 bájt (Blowfish kulcshossz-korlát). A hosszabb jelszavak csendben csonkolnak, ami egy régóta fennálló bcrypt furcsaság. A legjobb módszer az, hogy vagy korlátozza a jelszó hosszát 72 bájtra, vagy előzetesen kivonatolja az SHA-256-ot, hogy normalizálja a hosszt a titkosítás előtt.