Bcrypt, Scrypt и Argon2
- Файлы не покидают устройство
- Работает в браузере
- Бесплатно, без регистрации и водяных знаков
Как пользоваться: Bcrypt, Scrypt и Argon2
Создавайте и проверяйте хеши паролей bcrypt, scrypt и Argon2 в браузере, с предупреждениями, когда настройки ниже рекомендаций OWASP. Проверка также читает хеши Django PBKDF2.
- 1
Выберите «Создать хеш», затем алгоритм: bcrypt, scrypt или Argon2.
- 2
Настройте параметры (коэффициент стоимости для bcrypt; N, r и p для scrypt; вариант, память, итерации и параллелизм для Argon2) и следите за предупреждениями.
- 3
Введите пароль и нажмите «Создать хеш», затем скопируйте строку хеша, а для scrypt и Argon2 — ещё сырой хеш и соль.
- 4
Чтобы проверить пароль, переключитесь на «Проверить хеш» (или нажмите «Проверить этот хеш»), вставьте строку хеша, введите пароль для проверки и нажмите «Проверить».
Частые вопросы
Отправляется ли мой пароль на сервер?
Нет. Хеширование идёт в фоновом воркере на вашем устройстве, пароли и хеши никогда не сохраняются и не отправляются.
Почему один и тот же пароль каждый раз даёт другой хеш?
Каждый хеш получает новую случайную соль в 16 байт (bcrypt создаёт свою соль сам). Соль хранится внутри строки хеша, поэтому проверка всё равно работает. Свою соль используйте только чтобы воспроизвести известный хеш.
Какой алгоритм и настройки выбрать?
Argon2id — рекомендуемый выбор для новых систем; минимум OWASP — m = 19 МиБ, t = 2, p = 1. Для scrypt рекомендуется N = 2^17, r = 8, p = 1, для bcrypt — стоимость не ниже 10. Инструмент предупреждает, когда вы опускаетесь ниже.
Какие форматы хешей можно проверить?
bcrypt ($2a$, $2b$, $2y$), строки PHC Argon2id, Argon2i и Argon2d, scrypt ($scrypt$ и $s0$), а также Django pbkdf2_sha256 / pbkdf2_sha1. Хеши Linux crypt ($1$, $5$, $6$, $y$), Apache $apr1$ и обычные дайджесты MD5/SHA распознаются, но не поддерживаются.
Почему длинный пароль bcrypt принимает, но использует не целиком?
bcrypt использует только первые 72 байта пароля и игнорирует остальное. Инструмент предупреждает, когда это происходит; у Argon2 и scrypt такого предела нет.
Может ли он восстановить пароль из хеша?
Нет. Он только проверяет, совпадает ли введённый пароль. Хеши паролей задуманы медленными и односторонними, поэтому хеширование занимает время; можно смотреть таймер или нажать «Отмена».