مولّد هاش bcrypt والتحقق منه
أنشئ هاش bcrypt لكلمة مرور، أو اختبر هل تطابق كلمةُ مرور هاشًا مخزّنًا، دون أن يغادر أي شيء متصفحك.
توليد هاش bcrypt والتحقق منه أونلاين
bcrypt خوارزمية لتجزئة كلمات المرور صُمّمت لتكون بطيئة عن قصد. فالهاش العام مثل SHA-256 يمكن حسابه مليارات المرات في الثانية، وهذا بالضبط ما يريده من يخمّن كلمات المرور من قاعدة بيانات مسرَّبة؛ أما bcrypt فيجعل كل تخمين مكلفًا، ويتيح عامل التكلفة فيه زيادة هذه الكلفة كلما أصبح العتاد أسرع. وهو الخيار الافتراضي في PHP وLaravel وRuby on Rails وSpring Security وأطر عمل كثيرة أخرى.
تفتح هذه الصفحة تبويب bcrypt في مولّد التجزئة. ومن المهام المعتادة: إنشاء حساب المدير الأول مباشرة في قاعدة البيانات، أو كتابة بيانات اختبار، أو معرفة سبب تعذّر تسجيل دخول مستخدم.
قراءة هاش bcrypt
يتكوّن هاش bcrypt دائمًا من 60 محرفًا ويحمل كل ما يلزم للتحقق منه لاحقًا. خذ مثلًا $2y$10$N9qo8uLOickgx2ZMRZoMye...:
| الجزء | معناه |
|---|---|
$2y$ | بادئة الإصدار |
10 | التكلفة: 2 أُس 10، أي 1,024 جولة لتهيئة المفتاح |
| الـ 22 محرفًا التالية | قيمة salt العشوائية |
| آخر 31 محرفًا | الهاش نفسه |
اختيار عامل التكلفة
يمكن ضبط التكلفة هنا من 4 إلى 14. كل درجة تضاعف العمل، فالتكلفة 12 أبطأ أربع مرات من التكلفة 10. استهدف زمن تجزئة يبلغ جزءًا من الثانية على خادمك؛ وتعرض الأداة تقدّمها أثناء العمل، ما يعطيك إحساسًا بالفرق. ولأن التكلفة مخزّنة داخل الهاش، يمكنك رفعها لاحقًا وإعادة تجزئة كل كلمة مرور عند تسجيل صاحبها الدخول في المرة التالية.
حد 72 بايت
لا يقرأ bcrypt إلا أول 72 بايت من كلمة المرور. والمدخل الأطول لا يُرفض، بل يُقصّ بصمت، فتنتج كلمتا مرور طويلتان تشتركان في أول 72 بايت الهاش نفسه. والمحارف غير الإنجليزية كثيرًا ما يشغل كل منها من بايتين إلى أربعة في UTF-8، فيُبلغ الحد أسرع مما يوحي به عدد المحارف. وتعدّ الأداة البايتات أثناء الكتابة وتنبّهك فور تجاوز 72.
التحقق من الهاش في الكود
| اللغة | الإنشاء | التحقق |
|---|---|---|
| PHP | password_hash($pw, PASSWORD_BCRYPT) | password_verify($pw, $hash) |
| Node.js (bcryptjs) | bcrypt.hash(pw, 10) | bcrypt.compare(pw, hash) |
| Python (bcrypt) | bcrypt.hashpw(pw, bcrypt.gensalt()) | bcrypt.checkpw(pw, hashed) |
لتوليد كلمات مرور عشوائية تجزّئها، استخدم مولّد كلمات المرور. أما مجاميع التحقق للملفات لا لكلمات المرور، فابقَ مع SHA-256.