Ġeneratur u kontrollur tal-bcrypt

Kif taħsel password bil-bcrypt

1. Taħt Aħsel password, ikteb il-Password. Kontatur juri t-tul tagħha f’bytes UTF-8 u javżak meta taqbeż it-72 byte.
2. Agħżel il-Fattur tal-ispiża (4–14). Il-linja taħtu turi n-numru ta’ rawnds, pereżempju 10 → 2^10 = 1,024 rawnds.
3. Ikklikkja Iġġenera hash. Bar tal-progress isegwi x-xogħol, u l-paġna tibqa’ tintuża waqt li jaħdem. Meta jispiċċa, l-għodda turi l-ħin li ħa u l-Hash bcrypt, lest biex tikkopjah.
4. Il-hash jinqasam f’partijiet tiegħu: Verżjoni, Spiża, Salt (22 karattru) u Hash (31 karattru).

Biex tiċċekkja password kontra hash, ikteb il-password, waħħal il-hash (dak li għadek kif iġġenerajt jimtela awtomatikament) u ikklikkja Iċċekkja l-password. Ir-riżultat jgħidlek jekk jaqblux. Agħżel Aħbi l-passwords biex taħbi ż-żewġ oqsma tal-password.

L-ħasil jaħdem fil-brawżer tiegħek bil-librerija bcryptjs, li titella’ biss meta tkun teħtiġha għall-ewwel darba. Ebda password jew hash ma jintbagħat x’imkien.

Kif jaħdem il-bcrypt

Il-bcrypt (Provos u Mazières, 1999) huwa funzjoni tal-ħasil tal-passwords mibnija fuq iċ-ċifra Blowfish. Għall-kuntrarju tal-SHA-256, huwa bil-mod apposta, u dan in-nuqqas ta’ veloċità jista’ jiġi aġġustat: il-fattur tal-ispiża huwa qawwa ta’ tnejn, għalhekk kull +1 jirdoppja x-xogħol. Spiża ta’ 10 tfisser 1,024 iterazzjoni tal-issettjar għali tal-ċavetta; spiża ta’ 12 tfisser 4,096. Din il-lentezza ma tinħassx meta utent jidħol, imma jagħmel il-brute force ta’ database misruqa ħafna aktar għali.

Hash bħal $2b$10$N9qo8uLOickgx2ZMRZoMyeIjZAgcfl7p92ldGxad68LJZdL17lhWy jinqara hekk:

• $2b$: il-verżjoni. $2a$ u $2y$ (PHP) huma kompatibbli u jistgħu jiġu kkontrollati hawn; $2x$ timmarka hashes minn implimentazzjoni antika bi bug u tiġi miċħuda.
• 10: il-fattur tal-ispiża.
• It-22 karattru li jmiss: salt każwali ta’ 128 bit, fl-alfabett Base64 proprju tal-bcrypt (./A-Za-z0-9).
• L-aħħar 31 karattru: ir-riżultat ta’ 184 bit.

Peress li s-salt huwa każwali u maħżun fil-hash, jekk taħsel l-istess password darbtejn tikseb żewġ hashes differenti, u t-tnejn jivverifikaw sew. Għalhekk tiċċekkja password b’funzjoni ta’ verifika u mhux billi tqabbel il-hashes.

Agħżel l-ispiża

Agħżel l-ogħla spiża li s-server tiegħek jiflaħ filwaqt li żżomm id-dħul veloċi, tipikament madwar kwart ta’ sekonda għal kull hash. L-OWASP jirrakkomanda spiża minima ta’ 10 għall-bcrypt. Il-brawżers jaħdmu l-bcrypt fil-JavaScript, li huwa diversi drabi iktar bil-mod minn implimentazzjoni nattiva ta’ server: minn spiża ta’ 12 l-għodda tavża li l-ħasil jista’ jieħu minn sekonda sa diversi sekondi, u kull pass żejjed jirdoppja l-ħin. Ix-xogħol jinqasam f’biċċiet qosra, għalhekk il-paġna ma tiġġammax.

Għal sistemi ġodda, l-OWASP issa jippreferi l-Argon2id, bil-bcrypt xorta aċċettabbli fejn l-Argon2id mhuwiex disponibbli.

Il-limitu ta’ 72 byte

Il-bcrypt juża biss l-ewwel 72 byte tal-password; dak kollu wara jiġi injorat bil-kwiet. Il-bytes mhumiex karattri: ittra bl-aċċent tieħu 2 bytes fl-UTF-8 u emoji tieħu 4. Żewġ passwords twal li jaqsmu l-ewwel 72 byte tagħhom jipproduċu l-istess hash. Il-kontatur tal-bytes javżak meta password tkun twila wisq. Xi sistemi jaħslu minn qabel passwords twal (pereżempju bl-HMAC-SHA256, imbagħad Base64) qabel il-bcrypt; jekk tagħmel hekk, qatt la tgħaddi digests binarji mhux ipproċessati, għax byte żero itemm il-password kmieni f’ħafna implimentazzjonijiet.