Bcrypt-Hash erstellen und prüfen

Passwörter mit bcrypt hashen

Bcrypt ist eine Passwort-Hashfunktion, die bewusst langsam ausgelegt ist und sich deshalb gut zum Speichern von Anmeldedaten eignet. Statt eines schnellen Digests wie SHA-256 wendet bcrypt einen einstellbaren Arbeitsaufwand an und bindet in jeden Hash ein zufälliges Salt ein. Dieses Tool führt die Bibliothek bcryptjs direkt in Ihrem Browser aus, sodass das eingegebene Passwort auf Ihrem Gerät gehasht und nie an einen Server gesendet wird. Die Ausgabe ist eine in sich geschlossene Zeichenfolge mit Algorithmusversion, Kostenfaktor und Salt. Deshalb entsteht bei jedem Durchlauf ein anderer Hash, selbst für dasselbe Passwort.

Einen Kostenfaktor wählen

Die Kosten, auch Arbeitsfaktor genannt, legen fest, wie viele Runden bcrypt durchführt. Der Aufwand verdoppelt sich mit jeder Stufe, sodass ein Kostenwert von 12 etwa viermal langsamer ist als einer von 10. Höhere Kosten machen Brute-Force- und Wörterbuchangriffe deutlich teurer, weil ein Angreifer dieselbe Zeit für jeden Versuch aufwenden muss. Für interaktive Web-Logins ist ein Wert zwischen 10 und 12 ein üblicher Kompromiss zwischen Sicherheit und Antwortzeit. Da dieses Tool in einem einzelnen Browser-Tab läuft, können sehr hohe Kosten mehrere Sekunden dauern – eine nützliche Erinnerung daran, wie viel Arbeit jeder Hash bedeutet.

Prüfen statt entschlüsseln

Bcrypt-Hashes sind Einwegfunktionen, sodass sich aus einem Hash nie das ursprüngliche Passwort zurückgewinnen lässt. Zum Prüfen eines Passworts wird der Kandidat mit dem im vorhandenen Hash gespeicherten Salt erneut gehasht und das Ergebnis verglichen – genau das tut der Prüfmodus mit bcrypt.compareSync. Fügen Sie einen gespeicherten Hash ein, geben Sie das zu testende Passwort ein, und das Tool meldet, ob beide übereinstimmen, ohne das ursprüngliche Geheimnis je preiszugeben. Das hilft beim Debuggen der Authentifizierung, beim Bestätigen eines vorab angelegten Testkontos oder beim Verstehen der Passwortspeicherung. In Produktivsystemen sollten Passwörter immer auf einem vertrauenswürdigen Backend gehasht werden; nutzen Sie diese Seite für lokale Experimente, Lernzwecke und schnelle Prüfungen, bei denen es von Vorteil ist, die Daten auf dem eigenen Rechner zu behalten.