Bcrypt, Scrypt e Argon2
- I file non lasciano il dispositivo
- Funziona nel browser
- Gratis, senza account, senza filigrana
Come usare Bcrypt, Scrypt e Argon2
Crea e verifica hash di password bcrypt, scrypt e Argon2 nel browser, con avvisi quando le impostazioni scendono sotto le raccomandazioni OWASP. La verifica legge anche gli hash PBKDF2 di Django.
- 1
Scegli Genera hash, poi un Algoritmo: bcrypt, scrypt o Argon2.
- 2
Regola i parametri (Fattore di costo per bcrypt; N, r e p per scrypt; Variante, Memoria, Iterazioni e Parallelismo per Argon2) e tieni d'occhio gli avvisi.
- 3
Digita la Password e fai clic su Genera hash, poi copia la stringa dell'hash, più l'hash grezzo e il sale per scrypt e Argon2.
- 4
Per controllare una password, passa a Verifica hash (oppure fai clic su Verifica questo hash), incolla la Stringa dell'hash, digita la Password da controllare e fai clic su Verifica.
Domande frequenti
La mia password viene inviata a un server?
No. L'hashing gira in un worker in background sul dispositivo e password e hash non vengono mai memorizzati né inviati.
Perché la stessa password dà un hash diverso ogni volta?
Ogni hash riceve un nuovo sale casuale di 16 byte (bcrypt crea il proprio sale). Il sale è memorizzato nella stringa dell'hash, quindi la verifica funziona comunque. Usa un Sale personalizzato solo per riprodurre un hash noto.
Quale algoritmo e quali impostazioni dovrei scegliere?
Argon2id è la scelta consigliata per i sistemi nuovi; il minimo OWASP è m = 19 MiB, t = 2, p = 1. Per scrypt consiglia N = 2^17, r = 8, p = 1 e per bcrypt un costo di almeno 10. Lo strumento avvisa quando scendi sotto questi valori.
Quali formati di hash posso verificare?
bcrypt ($2a$, $2b$, $2y$), stringhe PHC Argon2id, Argon2i e Argon2d, scrypt ($scrypt$ e $s0$) e Django pbkdf2_sha256 / pbkdf2_sha1. Gli hash crypt di Linux ($1$, $5$, $6$, $y$), Apache $apr1$ e i digest MD5/SHA semplici vengono riconosciuti ma non sono supportati.
Perché bcrypt accetta la mia password lunga ma non la usa tutta?
bcrypt usa solo i primi 72 byte di una password e ignora il resto. Lo strumento ti avvisa quando succede; Argon2 e scrypt non hanno questo limite.
Può recuperare una password da un hash?
No. Controlla solo se una password che digiti corrisponde. Gli hash delle password sono progettati per essere lenti e a senso unico, ed è anche per questo che l'hashing richiede un momento; puoi guardare il timer o fare clic su Annulla.