Bcrypt, Scrypt và Argon2
- Tệp không rời khỏi thiết bị của bạn
- Chạy trên trình duyệt
- Miễn phí, không cần đăng ký, không hình mờ
Cách dùng Bcrypt, Scrypt và Argon2
Tạo và xác minh hash mật khẩu bcrypt, scrypt và Argon2 trong trình duyệt, kèm cảnh báo khi cài đặt thấp hơn khuyến nghị của OWASP. Việc xác minh cũng đọc hash PBKDF2 của Django.
- 1
Chọn “Tạo hash”, rồi chọn “Thuật toán”: bcrypt, scrypt hoặc Argon2.
- 2
Chỉnh tham số (“Hệ số chi phí” với bcrypt; N, r và p với scrypt; “Biến thể”, “Bộ nhớ”, “Số vòng” và “Song song” với Argon2) và chú ý cảnh báo.
- 3
Gõ “Mật khẩu” rồi nhấn “Tạo hash”, sau đó sao chép chuỗi hash, cộng hash thô và salt với scrypt và Argon2.
- 4
Để kiểm tra mật khẩu, chuyển sang “Xác minh hash” (hoặc nhấn “Xác minh hash này”), dán “Chuỗi hash”, gõ “Mật khẩu cần kiểm tra” rồi nhấn “Xác minh”.
Câu hỏi thường gặp
Mật khẩu của tôi có được gửi tới máy chủ không?
Không. Việc băm chạy trong worker nền trên thiết bị của bạn, và mật khẩu cùng hash không bao giờ được lưu hoặc gửi.
Vì sao cùng một mật khẩu lại cho hash khác mỗi lần?
Mỗi hash nhận một salt ngẫu nhiên 16 byte mới (bcrypt tự tạo salt). Salt nằm trong chuỗi hash, nên việc xác minh vẫn đúng. Chỉ dùng “Salt tùy chỉnh” khi muốn tái tạo một hash đã biết.
Nên chọn thuật toán và cài đặt nào?
Argon2id là lựa chọn được khuyên cho hệ thống mới; mức tối thiểu của OWASP là m = 19 MiB, t = 2, p = 1. Với scrypt, OWASP khuyên N = 2^17, r = 8, p = 1, và với bcrypt chi phí ít nhất 10. Công cụ cảnh báo khi bạn thấp hơn các mức này.
Những định dạng hash nào có thể xác minh?
bcrypt ($2a$, $2b$, $2y$), chuỗi PHC của Argon2id, Argon2i và Argon2d, scrypt ($scrypt$ và $s0$), và Django pbkdf2_sha256 / pbkdf2_sha1. Hash crypt của Linux ($1$, $5$, $6$, $y$), Apache $apr1$ và digest MD5/SHA thuần được nhận ra nhưng không được hỗ trợ.
Vì sao mật khẩu dài của tôi được bcrypt chấp nhận nhưng không dùng hết?
bcrypt chỉ dùng 72 byte đầu của mật khẩu và bỏ phần còn lại. Công cụ cảnh báo khi điều đó xảy ra; Argon2 và scrypt không có giới hạn này.
Công cụ có khôi phục mật khẩu từ hash được không?
Không. Công cụ chỉ kiểm tra mật khẩu bạn gõ có khớp hay không. Hash mật khẩu được thiết kế chậm và một chiều, đó cũng là lý do việc băm mất một lúc; bạn có thể xem đồng hồ hoặc nhấn “Hủy”.