Bcrypt وScrypt وArgon2
- الملفات لا تغادر جهازك
- يعمل في المتصفح
- مجاني، بلا حساب، بلا علامة مائية
كيفية استخدام Bcrypt وScrypt وArgon2
أنشئ تجزئات كلمات مرور bcrypt وscrypt وArgon2 وتحقق منها في متصفحك، مع تحذيرات عندما تنخفض الإعدادات عن توصيات OWASP. تقرأ عملية التحقق أيضًا تجزئات Django PBKDF2.
- 1
اختر «توليد تجزئة»، ثم اختر «خوارزمية»: bcrypt أو scrypt أو Argon2.
- 2
اضبط المعاملات («عامل التكلفة» لـ bcrypt؛ وN وr وp لـ scrypt؛ و«المتغير» و«الذاكرة» و«التكرارات» و«التوازي» لـ Argon2) وراقب التحذيرات.
- 3
اكتب «كلمة المرور» وانقر «توليد تجزئة»، ثم انسخ سلسلة التجزئة، بالإضافة إلى التجزئة الخام والملح لـ scrypt وArgon2.
- 4
للتحقق من كلمة مرور، بدّل إلى «التحقق من التجزئة» (أو انقر «التحقق من هذه التجزئة»)، والصق «سلسلة التجزئة»، واكتب «كلمة المرور للتحقق» وانقر «تحقق».
أسئلة شائعة
هل تُرسل كلمة مروري إلى خادم؟
لا. تتم التجزئة في عامل خلفية على جهازك، ولا تُخزَّن كلمات المرور والتجزئات أو تُرسل أبدًا.
لماذا تعطي كلمة المرور نفسها تجزئة مختلفة في كل مرة؟
تحصل كل تجزئة على ملح عشوائي جديد من 16 بايتًا (ينشئ bcrypt ملحه بنفسه). يُخزَّن الملح داخل سلسلة التجزئة، لذا ما زال التحقق يعمل. استخدم «ملحًا مخصصًا» فقط لإعادة إنتاج تجزئة معروفة.
أي خوارزمية وإعدادات ينبغي أن أختار؟
Argon2id هو الخيار الموصى به للأنظمة الجديدة؛ والحد الأدنى لدى OWASP هو m = 19 MiB وt = 2 وp = 1. ولـ scrypt يوصي بـ N = 2^17 وr = 8 وp = 1، ولـ bcrypt بتكلفة لا تقل عن 10. تحذّرك الأداة عندما تنخفض عن هذه القيم.
ما صيغ التجزئة التي يمكنني التحقق منها؟
bcrypt ($2a$ و$2b$ و$2y$) وسلاسل PHC لـ Argon2id وArgon2i وArgon2d، وscrypt ($scrypt$ و$s0$)، وDjango pbkdf2_sha256 / pbkdf2_sha1. تُتعرَّف تجزئات Linux crypt ($1$ و$5$ و$6$ و$y$) وApache $apr1$ وملخصات MD5/SHA العادية لكنها غير مدعومة.
لماذا يقبل bcrypt كلمة مروري الطويلة ولا يستخدمها كاملة؟
يستخدم bcrypt أول 72 بايتًا فقط من كلمة المرور ويتجاهل الباقي. تحذّرك الأداة عند حدوث ذلك؛ ولا حد كهذا لدى Argon2 وscrypt.
هل يمكنه استرجاع كلمة مرور من تجزئة؟
لا. يتحقق فقط مما إذا كانت كلمة المرور التي تكتبها مطابقة. صُممت تجزئات كلمات المرور لتكون بطيئة وأحادية الاتجاه، ولهذا تستغرق التجزئة لحظة؛ يمكنك مشاهدة المؤقت أو النقر على «إلغاء».