Läuft vollständig in deinem Browser: Eingabe, HMAC-Schlüssel und erwarteter Hash verlassen dieses Gerät nicht.
Warum es bcrypt für Passwörter gibt
bcrypt ist eine Passwort-Hashfunktion, gebaut für Langsamkeit. Sie erzeugt für jedes Passwort ein zufälliges Salt und wiederholt den Blowfish-Schlüsselplan 2^cost mal, sodass die Kosten — die hier gezeigten Runden — mit schnellerer Hardware erhöht werden können. Ein Ergebnis sieht aus wie $2b$12$... mit eingebetteter Version, Kosten und Salt. Weil das Salt zufällig ist, erzeugt zweimaliges Hashen von hunter2 zwei verschiedene, aber gleichermaßen gültige Strings, und beide verifizieren gegen dasselbe Passwort.
Nutze bcrypt, wann immer du Nutzerpasswörter speicherst, und bevorzuge es gegenüber SHA-256, das viel zu schnell ist: GPUs berechnen Milliarden SHA-256-Hashes pro Sekunde, während bcrypt mit Kosten 12 etwa eine Viertelsekunde pro Versuch kostet und mit der Kosteneinstellung skaliert. Stimme die Kosten so ab, dass ein einzelner Hash auf deinem Server etwa 100 bis 250 ms dauert, und vergleiche das Kandidatenpasswort dann mit dem gespeicherten Hash über eine Verifikation mit konstanter Zeit.
So verwendest du den bcrypt-Generator
- Tippe das zu hashende Passwort ein und erzeuge den bcrypt-Digest.
- Erhöhe oder senke die Kosten (Runden) passend zum Budget deines Servers.
- Zum Prüfen eines Passworts füge einen vorhandenen $2-Hash in das Verifizierungsfeld ein.
- Kopiere den vollständigen Hash — das Salt ist darin gespeichert.
Häufige Fragen zu bcrypt
Warum ergibt dasselbe Passwort einen anderen Hash?
bcrypt zieht jedes Mal ein frisches zufälliges Salt und speichert es in der Ausgabe, daher ist jeder Hash auch bei identischen Passwörtern einzigartig.
Wann ist bcrypt besser als SHA-256?
Immer bei Passwörtern. bcrypt ist absichtlich langsam und gesalzen, was Brute-Force und Regenbogentabellen unpraktisch macht; SHA-256 ist auf Geschwindigkeit ausgelegt.
Wird bcrypt hier so schnell berechnet wie auf einem Server?
Nein. Diese Seite führt bcrypt in JavaScript aus und ist damit langsamer als eine native Implementierung — gut zum Demonstrieren und Verifizieren, weniger für Massengenerierung.
Läuft vollständig in deinem Browser: Eingabe, HMAC-Schlüssel und erwarteter Hash verlassen dieses Gerät nicht.
