Защита / Пароли
Генератор и проверка хешей bcrypt
Создайте хеш пароля bcrypt с выбранной стоимостью вычислений или проверьте соответствие пароля существующему хешу — полностью в браузере.
Генератор и проверка хешей bcrypt: bcrypt, разработанный Ниels Provos и David Mazières в 1999 году, запускает расписание ключей Blowfish 2^cost раз со случайной 16-байтовой солью, поэтому каждая попытка требует от злоумышленника одинакового объёма медленных вычислений. Результат содержит версию, стоимость, соль и хеш в одной строке длиной 60 символов. Реализация здесь проверена с пакетом Python bcrypt, включая Unicode и слишком длинные пароли. Работает на 100% локально в вашем браузере, файлы на сервер не загружаются.
- Категория
- Инструменты для разработчиков
- Запуски
- В вашем браузере
- Стоимость
- Бесплатно · без регистрации
- Доступность
- Готово к использованию
Полностью работает в браузере
Всё работает в этом браузере; пароль и хеш никуда не отправляются. Стоимость 10–12 подходит для большинства входов: каждый следующий шаг вдвое увеличивает время.
Безопасное хранение паролей
Никогда не храните пароли в открытом виде или с помощью быстрого хеша, такого как MD5 или SHA-256: видеокарта может проверять миллиарды вариантов в секунду. bcrypt, scrypt и Argon2 намеренно работают медленно и используют соль, поэтому взлом украденной базы данных становится намного сложнее.
Для входа на веб-сервер генератор htpasswd создаёт полные строки пользователей; чтобы создать сами пароли, используйте генератор паролей.
Как прочитать хеш bcrypt
В $2b$12$R9h/cIPz0gi.URNNX3kh2OPST9/PgBkqquzi.Ss7KIUgO2t0jWMUW 2b — версия, 12 — стоимость вычисления, следующие 22 символа — соль, а последние 31 — хеш. Поскольку соль и стоимость вычисления хранятся вместе с хешем, сервер может повысить стоимость для новых паролей, не нарушая работу старых.
Как пользоваться
- Введите пароль и выберите стоимость вычислений; для большинства сайтов подходит значение от 10 до 12.
- Создайте хеш и скопируйте его в базу данных или конфигурацию.
- Чтобы проверить сохранённый хеш, переключитесь в режим проверки, вставьте хеш и введите пароль.
Конфиденциальность и ограничения
Пароль и хеш остаются в вашем браузере; на сервер ничего не отправляется.
Похожие инструменты
Часто задаваемые вопросы
Какую стоимость вычислений выбрать?
Максимальную, которую ваш сервер может позволить для каждого входа в систему, обычно 10–12; OWASP рекомендует не менее 10. Каждый шаг удваивает время вычислений, поэтому сравните показанное здесь время с временем на самом медленном сервере.
В чём разница между $2a$, $2b$ и $2y$?
Они одинаково хешируют обычные пароли. $2b$ обозначает исправление OpenBSD от 2014 года для слишком длинных паролей, а $2y$ — исправление PHP от 2011 года для ошибки в другой реализации; PHP и Apache's htpasswd записывают $2y$, а большинство других библиотек — $2b$.
Почему длинный пароль принимается только с начальной частью?
bcrypt использует только первые 72 байта, а многие библиотеки молча обрезают более длинные пароли; инструмент предупреждает, когда это происходит. Каждая буква за пределами английского алфавита занимает 2–4 байта.
Бесплатный инструмент · запусков: в вашем браузере · аккаунт не нужен