Penukar Percuma
Kata Laluan Bcrypt Penjana
Hasilkan cincang kata laluan bcrypt selamat serta-merta dalam penyemak imbas anda. Pilih faktor kos anda dan kata laluan cincang sebelah pelanggan — sepenuhnya peribadi dan percuma.
Hasilkan cincang kata laluan bcrypt selamat serta-merta dalam penyemak imbas anda. Pilih faktor kos anda dan kata laluan cincang sebelah pelanggan — sepenuhnya peribadi dan percuma.
bcrypt ialah fungsi pencincang kata laluan yang direka oleh Niels Provos dan David Mazières pada tahun 1999, yang diperoleh daripada sifir Blowfish. Tidak seperti fungsi cincang tujuan umum seperti SHA-256, bcrypt sengaja perlahan — dan boleh dikonfigurasikan perlahan, melalui parameter kos — yang sebenarnya merupakan harta yang diperlukan oleh pencincang kata laluan. Fungsi cincang yang lebih pantas membolehkan penyerang memaksa lebih ramai calon sesaat; yang lebih perlahan menghadkan mereka.
bcrypt juga menggabungkan garam setiap kata laluan secara automatik, menghapuskan keseluruhan kelas serangan berdasarkan jadual pelangi yang diprakira. Parameter garam dan kos disimpan sebagai sebahagian daripada output bcrypt, jadi pengesahan hanya memerlukan cincang yang disimpan dan kata laluan calon — tiada pengurusan garam yang berasingan. Gabungan format kelambatan, garam dan serba lengkap ini menjadikan bcrypt sebagai cincang kata laluan lalai selama dua dekad dan pilihan yang kukuh hari ini.
Alternatif moden wujud. Argon2 memenangi Pertandingan Hashing Kata Laluan 2015 dan menawarkan kekerasan memori selain kekerasan masa. scrypt menawarkan sifat yang serupa. Untuk reka bentuk baharu, Argon2id adalah pilihan yang disyorkan. bcrypt kekal diterima dan digunakan secara meluas, terutamanya dalam persekitaran di mana Argon2 tidak tersedia.
Menyimpan kata laluan sebagai plaintext adalah penyelewengan. Menyimpannya dengan cincang pantas seperti SHA-256 hampir tidak lebih baik — GPU moden mengira berbilion cincang SHA-256 sesaat, menjadikan serangan kekerasan terhadap mana-mana kata laluan biasa boleh dilaksanakan dalam beberapa jam. Kelembapan bcrypt yang disengajakan mengubah ekonomi: pada faktor kos 12, penyerang membelanjakan kira-kira 250 ms bagi setiap kata laluan calon, menjadikan brute-force tidak praktikal untuk sebarang kata laluan yang tidak remeh.
garam per-kata laluan automatik bcrypt juga mengalahkan serangan jadual pelangi. Dua pengguna dengan kata laluan yang sama menghasilkan cincang bcrypt yang berbeza kerana garam mereka berbeza. Mengkompromi pangkalan data kata laluan tidak membenarkan penyerang dengan cepat mengenal pasti kata laluan biasa atau hit jadual yang diprakira.
Taip kata laluan, pilih kos, dapatkan cincang.
bcrypt menggunakan fasa persediaan kunci sifir Blowfish yang diubah suai, berulang 2^kali kos. Faktor kos adalah logaritma — kos 12 adalah dua kali lebih perlahan daripada kos 11, empat kali lebih perlahan daripada kos 10. Penskalaan logaritma ini membolehkan pentadbir meningkatkan kos dari semasa ke semasa apabila perkakasan bertambah baik, tanpa mereka bentuk semula sistem.
Format output ialah $version$cost$saltAndHash dengan saltAndHash dikodkan base64 dengan abjad tersuai. Versi biasanya $2b$ (varian moden dengan pepijat pembalut telah diperbaiki) atau $2y$ (khusus PHP, setara). Garam ialah 16 bait; hash ialah 24 bait; bersama-sama mereka mengekod kepada 53 aksara custom-base64.
Panjang input maksimum ialah 72 bait (had panjang kekunci Blowfish). Kata laluan yang lebih panjang dipotong secara senyap, yang merupakan kebiasaan bcrypt yang telah lama wujud. Amalan terbaik ialah sama ada mengehadkan panjang kata laluan kepada 72 bait atau pra-cincang dengan SHA-256 untuk menormalkan panjang sebelum bcrypt.