Kõik toimub sinu brauseris: sisend, HMAC-i võti ja oodatav räsi ei lahku seadmest.
Miks bcrypt on paroolide jaoks olemas
bcrypt on paroolide räsimise funktsioon, loodud aegluse jaoks. See loob iga parooli jaoks juhusliku soola ja kordab Blowfishi võtmeajakava 2^cost korda, nii et kulu — siin näidatud voorud — saab riistvara kiirenemisel tõsta. Tulemus näeb välja nagu $2b$12$... koos sisse ehitatud versiooni, kulu ja soolaga. Kuna sool on juhuslik, annab hunter2 kaks korda räsimine kaks erinevat, kuid võrdselt kehtivat stringi ja mõlemad kontrollitakse sama parooli vastu.
Kasuta bcrypti alati, kui hoiad kasutajate paroole, ja eelista seda SHA-256-le, mis on liiga kiire: GPU-d arvutavad miljardeid SHA-256 räsisid sekundis, samas kui bcrypti kulu 12 maksab umbes veerand sekundit katse kohta ja skaleerub kulu sättega. Häälesta kulu nii, et üks räsi võtab sinu serveris umbes 100–250 ms, seejärel võrdle kandidaatparooli salvestatud räsiga konstantse aja kontrolliga.
Kuidas bcrypti generaatorit kasutada
- Trüki räsitav parool ja genereeri bcrypti räsi.
- Tõsta või langeta kulu (voorud) vastavalt oma serveri eelarvele.
- Parooli kontrollimiseks kleebi olemasolev $2 räsi kontrollväljale.
- Kopeeri kogu räsi — sool on selle sees.
Korduma kippuvad küsimused bcrypti kohta
Miks annab sama parool erineva räsi?
bcrypt võtab iga kord värske juhusliku soola ja salvestab selle väljundisse, seega iga räsi on kordumatu ka identsete paroolide puhul.
Millal on bcrypt SHA-256-st parem?
Paroolide jaoks alati. bcrypt on tahtlikult aeglane ja soolatud, mis muudab toore jõu ja vikerkaaretabelid ebapraktiliseks; SHA-256 on loodud kiireks.
Kas bcrypt arvutatakse siin sama kiiresti kui serveris?
Ei. See leht käitab bcrypti JavaScriptis, seega on see aeglasem kui natiivne teostus — sobib demonstreerimiseks ja kontrollimiseks, vähem hulgitootmiseks.
Kõik toimub sinu brauseris: sisend, HMAC-i võti ja oodatav räsi ei lahku seadmest.
