Bcrypt-generator & -checker
Hash een wachtwoord met bcrypt en verifieer een wachtwoord tegen een bcrypt-hash, volledig in je browser.
Gerelateerde tools
Hoe gebruik je Bcrypt
- 01
Kies Hashen om een hash te maken, of Verifiëren om er een te controleren.
- 02
Voer een wachtwoord in, en een hash bij het verifiëren.
- 03
Lees de bcrypt-hash of het overeenkomstresultaat.
Hash en verifieer wachtwoorden
Een bcrypt-tool die een wachtwoord hasht met een kostenfactor die je kiest, en een wachtwoord verifieert tegen een bestaande bcrypt-hash. Alles draait lokaal in je browser, dus wachtwoorden blijven op je apparaat.
Waarom bcrypt voor wachtwoorden
Bcrypt is een adaptieve wachtwoord-hashfunctie die specifiek is ontworpen voor het opslaan van wachtwoorden. Anders dan een snelle hash zoals SHA-256 is hij bewust traag en bevat hij een ingebouwde salt, wat precies is wat je wilt bij het beschermen van opgeslagen wachtwoorden.
De kostenfactor
De kostenfactor (de rondes) bepaalt hoeveel werk elke hash kost. Elke extra ronde verdubbelt de berekening, dus het verhogen van de kosten maakt grootschalige brute-force- en GPU-aanvallen veel trager, terwijl een enkele inlog snel genoeg blijft. Een waarde van 10 tot 12 is een gangbare keuze.
Salt en verificatie
Bcrypt mengt een willekeurige salt in elke hash, zodat hetzelfde wachtwoord elke keer een andere hash oplevert. Dat verslaat voorberekende rainbow tables, en verificatie werkt nog steeds omdat de salt in de hash zelf is opgeslagen.
Om een wachtwoord te controleren, leest de verificatiemodus de salt en de kosten uit de opgeslagen hash, hasht de kandidaat op dezelfde manier, en vergelijkt, en daarom heb je alleen de hash en het wachtwoord nodig, niet de oorspronkelijke salt.
Beveiligingsnotitie
Het hashen en verifieren draait volledig in je browser, dus er wordt niets geüpload. Vermijd toch het plakken van echte productiewachtwoorden op een gedeelde computer.
Veelgestelde vragen
Wat zijn rounds?
De cost-factor: elke extra round verdubbelt het werk dat nodig is om de hash te berekenen, waardoor brute-force-aanvallen langzamer worden. 10 tot 12 is een gangbare keuze.
Waarom is de hash van hetzelfde wachtwoord elke keer anders?
Bcrypt bevat een willekeurige salt in elke hash, zodat de output verschilt zelfs voor hetzelfde wachtwoord. Verificatie werkt nog steeds omdat de salt in de hash is opgeslagen.
Is dit veilig om te gebruiken?
Hashen draait volledig in je browser, dus wachtwoorden worden niet geüpload. Vermijd toch het plakken van echte productiewachtwoorden op gedeelde computers.
Welke cost-factor moet ik kiezen?
10 tot 12 past bij de meeste toepassingen. Hoger is beter bestand tegen brute force maar langzamer voor elke login, dus balanceer beveiliging tegen de vertraging die gebruikers accepteren.
Is bcrypt beter dan SHA-256 voor wachtwoorden?
Ja. SHA-256 is snel, wat aanvallers helpt om wachtwoorden snel te raden. Bcrypt is bewust traag en gesalt, wat wachtwoordopslag nodig heeft.