Weryfikacja hashu Bcrypt — sprawdzanie i generowanie haseł

Sprawdz czy haslo odpowiada hashowi bcrypt. Generuj nowe hashe. Bezpłatnie.

Bezpieczne (SSL)

Przetwarzanie Lokalne

100% Darmowe

Przejdź do narzędzia

Instrukcja

1

Wprowadź dane
Wpisz treść, wklej tekst lub załaduj plik z dysku.
2

Kliknij przycisk
Narzędzie natychmiast przetworzy Twoje dane w przeglądarce.
3

Pobierz wynik
Skopiuj gotowy tekst lub zapisz plik na urządzeniu.

                                                function runTool() {

                                                  return "Wynik gotowy w 0.1s";

                                                }

Ustawienia

Tryb

Hasło

Hashy

Cost

Przytnij Opcja narzędzia

Wynik

Ustaw parametry i kliknij „Przetwórz”, aby zobaczyć wynik.

Oceń to narzędzie:

Powiązane narzędzia

Inne narzędzia, które mogą Ci się przydać

Weryfikacja hashu Bcrypt – bezpieczne przechowywanie haseł użytkowników

Bezpieczeństwo danych użytkowników w aplikacjach internetowych to absolutny priorytet. Jedną z najważniejszych zasad cyberbezpieczeństwa jest to, że hasła nigdy nie powinny być przechowywane w bazie danych w postaci jawnej (czystego tekstu). W przypadku wycieku danych (data breach) włamywacz natychmiast wszedłby w posiadanie haseł wszystkich użytkowników. Aby temu zapobiec, hasła są poddawane procesowi haszowania (mieszania) przy użyciu jednokierunkowych funkcji kryptograficznych. Najpopularniejszym, sprawdzonym i powszechnie zalecanym standardem w branży IT jest Bcrypt. Nasz weryfikator i tester haszy Bcrypt online pozwala na bezpieczne sprawdzenie poprawności hasła w stosunku do posiadanego hashu.

Bcrypt jest funkcją jednokierunkową, co oznacza, że mając sam hash (np. $2y$12$R9h...), nie da się go odszyfrować (odkodować) do czystego hasła za pomocą żadnego algorytmu. Weryfikacja polega na ponownym haszowaniu wpisanego hasła z wykorzystaniem tej samej soli (salt) i porównaniu wyników. Nasze narzędzie pozwala sprawdzić ten mechanizm w celach edukacyjnych i testowych, bez zapisywania wpisywanych haseł na serwerze.

Struktura zapisu hashu Bcrypt

Wygenerowany hash Bcrypt zawsze składa się z 60 znaków i ma ściśle określoną strukturę, z której kryptolodzy mogą odczytać parametry algorytmu. Poniższa tabela przedstawia anatomię przykładowego hashu:

Część hashu	Przykładowy fragment	Znaczenie techniczne	Cel / Funkcja w algorytmie
Identyfikator algorytmu	$2y$ lub $2a$ , $2b$	Określa wersję schematu Bcrypt użytą do zahaszowania.	Zapewnienie wstecznej kompatybilności przy zmianach standardów bibliotek.
Koszt obliczeniowy (Cost Factor)	`12` (dwie cyfry)	Liczba iteracji algorytmu wyrażona jako potęga dwójki ($2^{12} = 4096$ rund szyfru Blowfish).	Pozwala na spowalnianie pracy procesora przy próbach ataków siłowych (brute-force).
Sól (Salt)	`R9h/cIPzJuaXvWCnFv1e2e` (22 znaki)	Losowy ciąg znaków unikalny dla każdego pojedynczego hasła.	Zabezpiecza przed atakami tęczowych tablic (Rainbow Tables) – dwa identyczne hasła dają inne hashe.
Właściwy hash (Checksum)	`OdBp2J1eL1eD321F5a7201c...` (31 znaków)	Zaszyfrowana wartość wynikowa Blowfish po wielokrotnym przetworzeniu.	Służy do ostatecznego porównania z wprowadzonym hasłem podczas logowania.

Dlaczego Bcrypt jest odporny na ataki metodą brute-force?

W przeciwieństwie do bardzo szybkich funkcji skrótu takich jak MD5, SHA-1 czy SHA-256, Bcrypt został celowo zaprojektowany tak, aby był wolny obliczeniowo:

Algorytm adaptacyjny: Bcrypt pozwala na płynną zmianę kosztu obliczeniowego (Cost Factor). Wraz ze wzrostem mocy procesorów i kart graficznych administratorzy mogą podnieść koszt (np. z 10 do 12 czy 14), co sprawia, że wyliczenie jednego hashu zajmuje więcej czasu.
Spowalnianie ataków brute-force: Zahaszowanie jednego hasła za pomocą Bcrypt zajmuje procesorowi około 100-300 milisekund. Dla pojedynczego logowania użytkownika ta zwłoka jest niezauważalna. Jednak dla hakera próbującego sprawdzić miliardy kombinacji na sekundę (brute-force), opóźnienie to czyni atak całkowicie nieopłacalnym pod kątem czasu i zużycia prądu.
Odporność na Rainbow Tables: Dzięki wbudowanej, automatycznie generowanej soli o długości 22 znaków, nawet jeśli tysiąc użytkowników ustawi identyczne hasło (np. "123456"), w bazie danych każdy z nich otrzyma zupełnie inny zapis hashu. Haker nie może użyć gotowej bazy wcześniej wyliczonych haszy.

Jak bezpiecznie sprawdzić i zweryfikować hash Bcrypt?

Aby sprawdzić, czy zapomniane hasło odpowiada zapisanemu hashowi, wykonaj poniższe czynności:

Wklej posiadany hash: Umieść 60-znakowy hash (zaczynający się zazwyczaj od $2) w wyznaczonym polu formularza.
Wpisz hasło testowe: Wpisz hasło, które podejrzewasz o bycie źródłem tego hashu.
Uruchom weryfikację: Narzędzie wyodrębni sól oraz koszt z wklejonego hashu, zahaszuje wpisane hasło tymi samymi parametrami i porówna wyniki.
Bezpieczeństwo lokalne: Nasz tester wykorzystuje biblioteki JavaScript, co oznacza, że weryfikacja odbywa się całkowicie lokalnie w Twojej przeglądarce. Hasło nie jest przesyłane na serwer, co gwarantuje pełne bezpieczeństwo danych.

Często zadawane pytania (FAQ)

Czy z hashu Bcrypt można odzyskać oryginalne hasło?

Nie. Bcrypt jest jednokierunkową funkcją skrótu (hashing function), co oznacza, że nie istnieje żaden algorytm ani klucz deszyfrujący pozwalający na odwrócenie tego procesu i odczytanie hasła. Jedynym sposobem na znalezienie hasła jest sprawdzenie wszystkich kombinacji po kolei (brute-force) lub metoda słownikowa.

Jaka jest różnica między haszowaniem a szyfrowaniem?

Haszowanie to proces jednokierunkowy – dane wejściowe są przekształcane w unikalny skrót o stałej długości i nie można z niego odzyskać danych wejściowych. Szyfrowanie to proces dwukierunkowy – dane są blokowane kluczem szyfrującym, ale posiadając odpowiedni klucz deszyfrujący, można je w pełni odszyfrować do postaci pierwotnej.

Jaki koszt obliczeniowy (Cost Factor) jest obecnie zalecany?

Obecnie za bezpieczny standard dla systemów produkcyjnych uznaje się koszt 10 lub 12. Daje to optymalny balans pomiędzy bezpieczeństwem (czas generowania hashu ok. 100-200 ms) a wydajnością serwera przy obsłudze wielu żądań logowania jednocześnie.

Czym różni się Bcrypt od Argon2?

Bcrypt to sprawdzony standard oparty na szyfrze Blowfish. Argon2 (zwycięzca konkursu Password Hashing Competition w 2015 roku) to nowocześniejsza funkcja, która oprócz czasu obliczeń pozwala konfigurować zużycie pamięci RAM (jest odporna na dedykowane układy ASIC stosowane przez hakerów do łamania haseł).

Czy md5 i sha1 są bezpieczne dla haseł?

Zdecydowanie nie. Funkcje MD5 oraz SHA-1 zostały złamane i są skrajnie szybkie obliczeniowo. Współczesny komputer domowy potrafi wygenerować miliardy haszy MD5 na sekundę, co pozwala hakerowi złamać proste hasło w ułamku sekundy przy użyciu metody brute-force.