So funktioniert es
- Geben Sie unter Hash erzeugen das Passwort ein, stellen Sie den Kostenfaktor mit dem Schieberegler ein und klicken Sie auf Hash erzeugen.
- Kopieren Sie den Hash. Jeder Hash verwendet ein neues zufälliges Salt, daher liefert dasselbe Passwort jedes Mal einen anderen Hash.
- Um ein Passwort zu prüfen, fügen Sie rechts den bcrypt-Hash ein und geben Sie das Passwort ein. Das Ergebnis zeigt, ob sie übereinstimmen.
Optionen erklärt
- Kostenfaktor
- 4 bis 15, Standard 10. Der Aufwand ist 2 hoch dem Kostenfaktor, daher verdoppelt jede Stufe die Zeit. Die Seite zeigt zur Orientierung, wie lange der Hash in Ihrem Browser gedauert hat.
- Versionspräfix
- Neue Hashes beginnen mit $2b$. Zum Prüfen funktionieren $2a$, $2b$ und die von PHP password_hash erzeugten $2y$-Hashes unverändert.
- 72-Byte-Grenze
- bcrypt verwendet nur die ersten 72 Bytes eines Passworts (UTF-8, daher belegen manche Zeichen 2–4 Bytes). Die Seite warnt Sie, wenn ein Passwort länger ist; der Rest wird ignoriert.
Aufbau eines Hashes
$2b$10$N9qo8uLOickgx2ZMRZoMyeIjZAgcfl7p92ldGxad68LJZdL17lhWy2b: Algorithmus-Version10: Kostenfaktor, 2¹⁰ = 1.024 RundenN9qo8uLOickgx2ZMRZoMye: 22-Zeichen-Salt- die restlichen 31 Zeichen: der Hash
Häufig gestellte Fragen
Warum liefert dasselbe Passwort jedes Mal einen anderen Hash?
bcrypt erzeugt für jeden Hash ein zufälliges 16-Byte-Salt und speichert es im Hash selbst (die 22 Zeichen nach dem Kostenfaktor). Beim Prüfen wird das Salt aus dem Hash entnommen und neu berechnet, daher verifizieren alle diese Hashes.
Kann bcrypt entschlüsselt werden?
Nein. bcrypt ist ein Einweg-Hash; die einzige Möglichkeit, ein Passwort zu prüfen, ist, einen Kandidaten zu hashen und zu vergleichen. Websites, die anbieten, bcrypt zu entschlüsseln, probieren einfach gängige Passwörter der Reihe nach durch.
Welchen Kostenfaktor sollte ich verwenden?
Eine gängige Regel ist, dass ein Hash auf Ihrem Server etwa 100 ms dauern sollte, was heute meist 10–12 bedeutet. Zu niedrig erleichtert Brute-Force-Angriffe; zu hoch verlangsamt Logins und belastet den Server.
Wie unterscheidet es sich von MD5 oder SHA-256?
MD5 und SHA-256 sind auf Geschwindigkeit ausgelegt – eine einzelne GPU kann Milliarden pro Sekunde ausprobieren – daher sind sie allein ungeeignet, um Passwörter zu speichern. bcrypt ist bewusst langsam und hat ein eingebautes Salt; es wurde für die Passwortspeicherung entwickelt.
Wird mein Passwort hochgeladen?
Nein. Hashing und Prüfung laufen als JavaScript in Ihrem Browser und funktionieren auch offline.
Datenschutz
Dieses Tool läuft vollständig in Ihrem Browser. Ihre Dateien und Texte werden auf Ihrem Gerät verarbeitet und nie auf unsere Server hochgeladen.