Bcrypt-generator og -kontroll

Slik hasher du et passord med bcrypt

1. Under Hash et passord skriver du inn Passord. En teller viser lengden i UTF-8-byte og advarer deg når den går over 72 byte.
2. Velg Kostnadsfaktor (4–14). Linjen under viser antall runder, for eksempel 10 → 2^10 = 1 024 runder.
3. Klikk Generer hash. En fremdriftslinje følger arbeidet, og siden kan brukes mens det pågår. Når det er ferdig, viser verktøyet tiden det tok og Bcrypt-hash, klar til å kopieres.
4. Hashen deles opp i delene Versjon, Kostnad, Salt (22 tegn) og Hash (31 tegn).

For å kontrollere et passord mot en hash skriver du inn passordet, limer inn hashen (den du nettopp laget, fylles ut automatisk) og klikker Kontroller passord. Resultatet forteller om de samsvarer. Huk av for Skjul passord for å skjule begge passordfeltene.

Hashingen kjører i nettleseren din med biblioteket bcryptjs, som lastes først når du trenger det. Ingen passord og ingen hash sendes noe sted.

Slik fungerer bcrypt

bcrypt (Provos og Mazières, 1999) er en passordhashfunksjon bygget på Blowfish-chifferet. I motsetning til SHA-256 er den med vilje treg, og tregheten kan justeres: kostnadsfaktoren er en toerpotens, så hvert trinn opp dobler arbeidet. Kostnad 10 betyr 1 024 iterasjoner av den kostbare nøkkeloppsettingen, kostnad 12 betyr 4 096. Tregheten merkes knapt når en bruker logger inn, men den gjør det mye dyrere å knekke en stjålet database med rå makt.

En hash som $2b$10$N9qo8uLOickgx2ZMRZoMyeIjZAgcfl7p92ldGxad68LJZdL17lhWy leses slik:

• $2b$: versjonen. $2a$ og $2y$ (PHP) er kompatible og kan kontrolleres her. $2x$ markerer hasher fra en gammel implementasjon med feil og avvises.
• 10: kostnadsfaktoren.
• De neste 22 tegnene: et tilfeldig 128-bits salt i bcrypts eget Base64-alfabet (./A-Za-z0-9).
• De siste 31 tegnene: resultatet på 184 biter.

Fordi saltet er tilfeldig og lagres i hashen, gir hashing av samme passord to ganger to ulike hasher, og begge kan verifiseres. Derfor kontrollerer du et passord med en verifiseringsfunksjon i stedet for å sammenligne hasher.

Velg kostnad

Velg den høyeste kostnaden serveren din har råd til uten at innloggingen blir treg, typisk rundt et kvart sekund per hash. OWASP anbefaler minst kostnad 10 for bcrypt. Nettlesere kjører bcrypt i JavaScript, som er flere ganger tregere enn en innebygd serverimplementasjon: fra kostnad 12 advarer verktøyet om at hashing kan ta fra ett til flere sekunder, og hvert ekstra trinn dobler tiden. Arbeidet deles i korte stykker, så siden fryser ikke.

For nye systemer foretrekker OWASP nå Argon2id, mens bcrypt fortsatt er akseptabelt der Argon2id ikke er tilgjengelig.

Grensen på 72 byte

bcrypt bruker bare de første 72 bytene av passordet, og alt etter det ignoreres uten melding. Byte er ikke tegn: en bokstav med aksent tar 2 byte i UTF-8, og en emoji tar 4. Norske tegn som æ, ø og å tar 2 byte hver. To lange passord som har de første 72 bytene felles, gir samme hash. Telleren advarer deg når et passord er for langt. Noen systemer forhasher lange passord (for eksempel med HMAC-SHA256 og deretter Base64) før bcrypt. Hvis du gjør det, må du aldri sende rå binære hashverdier, fordi en nullbyte avslutter passordet for tidlig i mange implementasjoner.