Bcrypt, Scrypt & Argon2
Passwort-Hashes mit bcrypt, scrypt oder Argon2 erzeugen und prüfen
- Dateien verlassen Ihr Gerät nicht
- Läuft im Browser
- Kostenlos, ohne Anmeldung, ohne Wasserzeichen
So verwenden Sie: Bcrypt, Scrypt & Argon2
Erzeugen und prüfen Sie bcrypt-, scrypt- und Argon2-Passwort-Hashes im Browser, mit Warnungen, wenn Einstellungen unter den OWASP-Empfehlungen liegen. Beim Prüfen werden auch Django-PBKDF2-Hashes erkannt.
- 1
Wählen Sie „Hash erzeugen“ und unter „Algorithmus“ bcrypt, scrypt oder Argon2.
- 2
Passen Sie die Parameter an („Kostenfaktor“ bei bcrypt; N, r und p bei scrypt; „Variante“, „Speicher“, „Iterationen“ und „Parallelität“ bei Argon2) und achten Sie auf Warnungen.
- 3
Geben Sie das „Passwort“ ein, klicken Sie auf „Hash erzeugen“ und kopieren Sie die Hash-Zeichenkette; bei scrypt und Argon2 erhalten Sie zusätzlich Roh-Hash und Salt.
- 4
Zum Prüfen wechseln Sie zu „Hash prüfen“ (oder klicken auf „Diesen Hash prüfen“), fügen die „Hash-Zeichenkette“ ein, geben das „Zu prüfende Passwort“ ein und klicken auf „Prüfen“.
Häufige Fragen
Wird mein Passwort an einen Server gesendet?
Nein. Das Hashen läuft in einem Hintergrund-Worker auf Ihrem Gerät; Passwörter und Hashes werden weder gespeichert noch gesendet.
Warum ergibt dasselbe Passwort jedes Mal einen anderen Hash?
Jeder Hash erhält ein neues zufälliges 16-Byte-Salt (bcrypt erzeugt sein Salt selbst). Das Salt steckt in der Hash-Zeichenkette, daher funktioniert die Prüfung trotzdem. Ein „Eigenes“ Salt brauchen Sie nur, um einen bekannten Hash nachzubilden.
Welchen Algorithmus und welche Einstellungen sollte ich wählen?
Für neue Systeme wird Argon2id empfohlen; das OWASP-Minimum ist m = 19 MiB, t = 2, p = 1. Für scrypt empfiehlt OWASP N = 2^17, r = 8, p = 1, für bcrypt einen Kostenfaktor von mindestens 10. Darunter warnt das Tool.
Welche Hash-Formate kann ich prüfen?
bcrypt ($2a$, $2b$, $2y$), Argon2id/2i/2d als PHC-String, scrypt ($scrypt$ und $s0$) sowie Django pbkdf2_sha256 / pbkdf2_sha1. Linux-crypt-Hashes ($1$, $5$, $6$, $y$), Apache $apr1$ und einfache MD5/SHA-Digests werden erkannt, aber nicht unterstützt.
Warum nutzt bcrypt mein langes Passwort nicht vollständig?
bcrypt verwendet nur die ersten 72 Bytes eines Passworts und ignoriert den Rest. Das Tool weist Sie darauf hin; Argon2 und scrypt haben diese Grenze nicht.
Kann das Tool ein Passwort aus einem Hash zurückgewinnen?
Nein. Es prüft nur, ob ein eingegebenes Passwort passt. Passwort-Hashes sind bewusst langsam und nur in eine Richtung berechenbar, deshalb dauert das Hashen einen Moment; Sie sehen einen Timer und können mit „Abbrechen“ stoppen.