Bcrypt Şifre Hash Oluşturucu

Size verdiği o garip dizeyi okumak

Bir bcrypt hash'i rastgele karakter yığını gibi görünür, ama bilinmeye değer sabit bir anatomisi vardır. $2a$ veya $2b$ gibi bir sürüm işaretiyle başlar, ardından seçtiğiniz maliyet faktörü, sonra rastgele tuzun yirmi iki karakteri ve son olarak gerçek hash'in otuz bir karakteri gelir. Bir doğrulayıcının ihtiyaç duyduğu her şey o tek dizenin içinde yolculuk eder — bu yüzden hepsi tek bir veritabanı sütununa sığar ve aynı şifre için iki kez hash oluşturmak, ikisi de yine de geçerli olan iki farklı dize verir. Tuz her seferinde farklıdır, bu yüzden çıktı her seferinde farklıdır; arka uç bir girişi daha sonra kontrol ettiğinde, tuzu saklanan dizeden geri okur, denemeyi bununla hash'ler ve sonucu karşılaştırır.

Bu sayfayı gerçekte nerede kullanırsınız

Çoğu zaman bcrypt hash'leme bir tarayıcıda değil, uygulamanızın içinde gerçekleşir — ama elle yapılmış bir hash'in tam olarak ihtiyacınız olan şey olduğu anlar da vardır. Şifrelerini bildiğiniz hesaplarla bir test veritabanını tohumlamak. Kullanıcılar tablosuna doğrudan yeni bir hash yazarak kilitlenmiş bir yönetici hesabını kurtarmak. Sütunun boyutunu belirlemeden önce bir kütüphanenin ne şekilde bir dize üreteceğini kontrol etmek. Bunların hepsinde bir şifre yapıştırır, hash'i kopyalar ve giriş kodunuzun beklediği yere yerleştirirsiniz. Asla yapılmaması gereken tek bir şey var: hash'leri kendi kodunuzda dize olarak karşılaştırmak. Tuz nedeniyle aynı şifre farklı hash'ler üretir — doğrulama, tuzu nasıl geri okuyacağını bilen kütüphanenizin karşılaştırma fonksiyonundan geçmelidir.

Yaşayabileceğiniz bir maliyet seçmek

Maliyet faktöründeki her adım, hem sizin hem de bir saldırganın işini ikiye katlar. Sekiz hızlıdır ve en iyi eski sistem uyumluluğuna bırakılır; buradaki varsayılan olan on, yaygın üretim seçimidir; on iki, girişler seyrekse konfor sağlar; on dört ise oluşturması bile saniyeler sürer. Zamanlama hakkında adil bir uyarı: bu sayfa, sunucunuzdaki yerel koddan daha yavaş olan saf bir JavaScript uygulaması çalıştırır, bu yüzden burada hissettiğiniz gecikmeyi bir kıyaslama değil, bir üst sınır olarak değerlendirin — girişleri gerçekten yönetecek makinede ölçüm yapın. Ve bir hash yalnızca içine giren şey kadar iyi olduğu için, şifre oluşturucu güçlü bir girdi yapar; şifre olmayan her şey — dosyalar, belgeler, düz metin — ise bunun yerine SHA hash oluşturucuya aittir.

Neden sade bir hash yerine bcrypt

Bir şifrenin sade bir SHA hash'i, modern donanımda hızla kaba kuvvetle kırılabilir. Bcrypt bilinçli olarak yavaştır — maliyet faktörü tam olarak ne kadar yavaş olacağını belirler — ve otomatik olarak tuzlanır, bu yüzden aynı şifre iki kez aynı saklanan hash'i asla üretmez. Sunucu tarafında şifre saklamak için hâlâ standart bir tercih olmasının nedeni de budur.