Bcrypt-generator och kontroll

Så hashar du ett lösenord med bcrypt

1. Under Hasha ett lösenord skriver du in ditt Lösenord. En räknare visar längden i UTF-8-byte och varnar när den går över 72 byte.
2. Välj Kostnadsfaktor (4–14). Raden under visar antalet rundor, till exempel 10 → 2^10 = 1 024 rundor.
3. Klicka på Generera hash. En förloppsindikator följer arbetet, och sidan går att använda medan det pågår. När det är klart visar verktyget hur lång tid det tog och din Bcrypt-hash, redo att kopiera.
4. Hashen delas upp i sina delar: Version, Kostnad, Salt (22 tecken) och Hash (31 tecken).

För att kontrollera ett lösenord mot en hash skriver du lösenordet, klistrar in hashen (den du just genererade fylls i automatiskt) och klickar på Kontrollera lösenord. Resultatet visar om de stämmer. Kryssa i Dölj lösenord för att maskera båda lösenordsfälten.

Hashningen körs i din webbläsare med biblioteket bcryptjs, som laddas först när du behöver det. Inget lösenord och ingen hash skickas någonstans.

Så fungerar bcrypt

bcrypt (Provos och Mazières, 1999) är en hashfunktion för lösenord byggd på chiffret Blowfish. Till skillnad från SHA-256 är den medvetet långsam, och långsamheten går att justera: kostnadsfaktorn är en tvåpotens, så varje steg uppåt fördubblar arbetet. Kostnad 10 betyder 1 024 iterationer av den dyra nyckeluppsättningen, kostnad 12 betyder 4 096. Den långsamheten märks knappt när en användare loggar in, men den gör det betydligt dyrare att knäcka en stulen databas med råstyrka.

En hash som $2b$10$N9qo8uLOickgx2ZMRZoMyeIjZAgcfl7p92ldGxad68LJZdL17lhWy läses så här:

• $2b$: versionen. $2a$ och $2y$ (PHP) är kompatibla och kan kontrolleras här. $2x$ markerar hashar från en gammal implementation med en bugg och avvisas.
• 10: kostnadsfaktorn.
• De följande 22 tecknen: ett slumpmässigt salt på 128 bitar, i bcrypts egna Base64-alfabet (./A-Za-z0-9).
• De sista 31 tecknen: resultatet på 184 bitar.

Eftersom saltet är slumpmässigt och lagras i hashen ger samma lösenord två olika hashar om du hashar det två gånger, och båda verifieras korrekt. Det är också därför du kontrollerar ett lösenord med en verifieringsfunktion i stället för att jämföra hashar.

Välja kostnad

Välj den högsta kostnad din server klarar utan att inloggningen blir långsam, oftast runt en kvarts sekund per hash. OWASP rekommenderar minst kostnad 10 för bcrypt. Webbläsare kör bcrypt i JavaScript, vilket är flera gånger långsammare än en inbyggd implementation på en server: från kostnad 12 varnar verktyget för att hashningen kan ta från en till flera sekunder, och varje extra steg fördubblar tiden. Arbetet delas upp i korta bitar, så sidan fryser inte.

För nya system föredrar OWASP numera Argon2id, men bcrypt är fortfarande godtagbart där Argon2id inte finns.

Gränsen på 72 byte

bcrypt använder bara de första 72 byten av lösenordet. Allt därefter ignoreras utan varning. Byte är inte samma sak som tecken: å, ä och ö tar 2 byte var i UTF-8 och en emoji tar 4. Två långa lösenord som har samma första 72 byte ger samma hash. Byteräknaren varnar när ett lösenord är för långt. Vissa system förhashar långa lösenord (till exempel med HMAC-SHA256 och sedan Base64) innan bcrypt. Gör du det ska du aldrig skicka in råa binära hashvärden, eftersom en nollbyte avslutar lösenordet i förtid i många implementationer.