Bcrypt Generator & Verifier
Hashen Sie Passwörter mit bcrypt und verifizieren Sie Hashes gegen Klartexte. Wählen Sie Ihren Kostenfaktor. Läuft vollständig in Ihrem Browser – es werden keine Daten an einen Server gesendet.
Bcrypt Generator & Verifier
Höherer Kostenfaktor = sicherer, aber langsamer zu berechnen.
Über bcrypt
Bcrypt ist eine Passwort-Hash-Funktion, die absichtlich langsam und rechenintensiv ist und Brute-Force-Angriffe unpraktisch macht. Im Gegensatz zu SHA-256, das schnell sein soll, verlangsamt sich bcrypt absichtlich mit jedem Anstieg des Kostenfaktors. Der Kostenfaktor verdoppelt die Arbeit pro Anstieg – Kostenfaktor 11 ist zweimal so langsam wie Kostenfaktor 10.
Ihre Daten bleiben in Ihrem Browser – es werden keine Daten an einen Server gesendet.
Was ist bcrypt?
Bcrypt ist ein Passwort-Hash-Algorithmus, der 1999 von Niels Provos und David Mazières entwickelt wurde. Im Gegensatz zu allgemeinen kryptografischen Hash-Funktionen wie SHA-256 ist bcrypt speziell dafür ausgelegt, langsam und CPU-intensiv zu sein, um Widerstand gegen Brute-Force- und Dictionary-Angriffe zu bieten. Es integriert auch automatisch einen zufälligen Salt, sodass identische Passwörter jedes Mal unterschiedliche Hashes produzieren.
Wählen eines Kostenfaktors
Der Kostenfaktor (auch Arbeitsfaktor oder Runden genannt) steuert, wie rechenintensiv der Hash ist. Er ist ein Base-2-Logarithmus – Kostenfaktor 10 führt 2¹⁰ = 1024 Iterationen durch, Kostenfaktor 11 führt 2048 durch usw. OWASP empfiehlt einen Mindestkostenfaktor von 10 und 12 oder höher für neue Anwendungen, da sich die Hardware verbessert. Streben Sie eine Hash-Zeit von 100–300 ms in Ihrer Produktionsumgebung an.
So verwenden Sie das Tool
- Wählen Sie die Hash-Registerkarte, geben Sie Ihr Klartextpasswort ein und wählen Sie einen Kostenfaktor.
- Klicken Sie auf Hash generieren – der bcrypt Hash erscheint im Ausgabefeld.
- Kopieren Sie den Hash, um ihn in Ihrer Datenbank zu speichern.
- Zum späteren Verifizieren: Wechseln Sie zur Verify-Registerkarte, geben Sie den Klartext und den gespeicherten Hash ein und klicken Sie dann auf Verify.
Häufig gestellte Fragen
- Kann ich einen bcrypt Hash umkehren, um das Originalpasswort zu erhalten?
- Nein. Bcrypt ist eine Einweg-Hash-Funktion – es ist rechnerisch nicht praktikabel, einen bcrypt Hash umzukehren. Die einzige Möglichkeit, ein Passwort zu überprüfen, besteht darin, den Kandidaten zu hashen und zu vergleichen, was die Verify-Registerkarte genau tut.
- Warum produziert bcrypt jedes Mal einen anderen Hash für dieselbe Eingabe?
- Bcrypt generiert automatisch einen zufälligen 128-Bit-Salt für jeden Hash. Der Salt ist in der Hash-Zeichenkette eingebettet (das Präfix $2b$10$... enthält sowohl den Kostenfaktor als auch den Salt). Das bedeutet, dass zwei Hashes desselben Passworts unterschiedlich aussehen, aber beide korrekt verifiziert werden.
- Wie lang kann eine bcrypt-Eingabe maximal sein?
- Bcrypt trunckt Eingaben bei 72 Bytes. Wenn Ihr Klartextpasswort länger als 72 Bytes (ungefähr 72 ASCII-Zeichen, weniger bei Multibyte-Zeichen) ist, werden nur die ersten 72 Bytes gehasht. Für sehr lange Passwörter erwägen Sie, vor bcrypt mit SHA-256 vorzuhashen, oder verwenden Sie stattdessen Argon2.
- Wird bcrypt immer noch empfohlen oder sollte ich Argon2 verwenden?
- Bcrypt bleibt eine starke, weit verbreitete Wahl zum Hashen von Passwörtern und ist sicher zu verwenden. Argon2 (Gewinner des Password Hashing Competition) ist die moderne Empfehlung für neue Systeme, da es auch speichergebunden ist und GPU-basierte Angriffe teurer macht. Beide sind um ein Vielfaches besser als die Verwendung von Raw SHA-256 oder MD5 für Passwörter.