Viss notiek tavā pārlūkā: ievade, HMAC atslēga un gaidītais jaucējkods neatstāj ierīci.
Kāpēc parolēm ir bcrypt
bcrypt ir paroļu jaucēšanas funkcija, veidota lēnumam. Tā ģenerē nejaušu sāli katram parolam un atkārto Blowfish atslēgu grafiku 2^cost reizes, tāpēc izmaksas — šeit rādītie raundi — var celt, aparatūrai kļūstot ātrākai. Rezultāts izskatās kā $2b$12$... ar iekšā iekļautu versiju, izmaksu un sāli. Tā kā sāls ir nejaušs, hunter2 jaucēšana divreiz dod divas dažādas, bet vienlīdz derīgas virknes, un abas verificējas pret vienu paroli.
Izmanto bcrypt vienmēr, kad glabā lietotāju paroles, un dod priekšroku tam pār SHA-256, kas ir pārāk ātrs: GPU aprēķina miljardiem SHA-256 jaucēju sekundē, kamēr bcrypt izmaksas 12 maksā apmēram ceturtdaļu sekundes uz mēģinājumu un mērogojas ar izmaksu iestatījumu. Pielāgo izmaksas tā, lai viens jaucējs tavā serverī aizņem apmēram 100–250 ms, tad salīdzini kandidāta paroli ar saglabāto jaucēju, izmantojot nemainīga laika verifikāciju.
Kā lietot bcrypt ģeneratoru
- Ieraksti jaucējamo paroli un ģenerē bcrypt jaucēju.
- Cel vai samazini izmaksas (raundus) atbilstoši sava servera budžetam.
- Lai pārbaudītu paroli, ielīmē esošu $2 jaucēju verifikācijas laukā.
- Nokopē visu jaucēju — sāls ir iekšā.
Biežāk uzdotie jautājumi par bcrypt
Kāpēc viena parole dod dažādus jaucējus?
bcrypt katru reizi izvēlas svaigu nejaušu sāli un saglabā to izvadē, tāpēc katrs jaucējs ir unikāls arī identiskām parolēm.
Kad bcrypt ir labāks par SHA-256?
Parolēm vienmēr. bcrypt ir apzināti lēns un sālīts, kas padara brutālo spēku un varavīksnes tabulas nepraktiskas; SHA-256 ir veidots ātrumam.
Vai bcrypt šeit tiek aprēķināts tikpat ātri kā serverī?
Nē. Šī lapa izpilda bcrypt JavaScript, tāpēc tas ir lēnāks nekā vietējā realizācija — noder demonstrēšanai un verifikācijai, mazāk masveida ģenerēšanai.
Viss notiek tavā pārlūkā: ievade, HMAC atslēga un gaidītais jaucējkods neatstāj ierīci.
