Hash e verifica Bcrypt

Genera l'hash delle password con bcrypt

Bcrypt è una funzione di hashing delle password progettata per essere volutamente lenta, il che la rende una scelta solida per archiviare le credenziali di accesso. Invece di un digest veloce come SHA-256, bcrypt applica una quantità regolabile di lavoro e inserisce un salt casuale in ogni hash. Questo strumento esegue la libreria bcryptjs direttamente nel browser, quindi la password che digiti viene elaborata sul tuo dispositivo e non viene mai inviata a un server. Il risultato è una stringa autonoma che include la versione dell'algoritmo, il fattore di costo e il salt, ed è per questo che ogni esecuzione produce un hash diverso anche per la stessa password.

Scegliere un fattore di costo

Il costo, detto anche work factor, stabilisce quanti round esegue bcrypt. Il lavoro raddoppia ad ogni incremento, quindi un costo di 12 è circa quattro volte più lento di un costo di 10. Un costo più alto rende gli attacchi a forza bruta e a dizionario molto più onerosi, perché l'attaccante deve impiegare lo stesso tempo per ogni tentativo. Per gli accessi web interattivi, un valore tra 10 e 12 è un equilibrio comune tra sicurezza e tempo di risposta. Poiché questo strumento gira in una singola scheda del browser, costi molto alti possono richiedere diversi secondi, un utile promemoria di quanto lavoro rappresenti ogni hash.

Verificare invece di decifrare

Gli hash bcrypt sono unidirezionali, quindi non puoi mai riottenere la password originale da un hash. Per controllare una password si calcola di nuovo l'hash del candidato con il salt contenuto nell'hash esistente e si confrontano i risultati, ed è esattamente ciò che fa la modalità di verifica con bcrypt.compareSync. Incolla un hash memorizzato, digita la password da testare e lo strumento indica se corrispondono senza mai rivelare il segreto originale. È utile per il debug dell'autenticazione, per confermare un account di test preimpostato o per capire come funziona l'archiviazione delle password. Nei sistemi di produzione, calcola sempre l'hash delle password su un backend attendibile; usa questa pagina per esperimenti locali, didattica e controlli rapidi dove tenere i dati sul proprio computer è un vantaggio.