bcrypt online - Passwort-Hashing

bcrypt ist eine Passwort-Hashing-Funktion, die von Niels Provos und David Mazières entwickelt und 1999 auf der USENIX vorgestellt wurde. Sie basiert auf der Blowfish-Chiffre, ist aber für die Speicherung von Passwörtern gedacht, nicht für allgemeine Datei-Prüfsummen: Jeder Rateversuch wird absichtlich verlangsamt, nutzt ein eindeutiges Salt und kann über den Cost Factor teurer gemacht werden.

Ein bcrypt-Passwort-Hash ist eine eigenständige Zeichenkette wie $2b$12$.... Sie enthält Algorithmusversion, Cost Factor, ein 128-Bit-Salt in bcrypts eigener Base64-Kodierung und den endgültigen Hash. Deshalb speichert eine Datenbank normalerweise nur eine bcrypt-Zeichenkette pro Passwort; die Verifizierungsbibliothek liest die Parameter später daraus aus.

Nutzen Sie dieses bcrypt online Tool, wenn Sie einen bcrypt hash generator für Dokumentation, Testdaten, Migrationsprüfungen oder schnelle Experimente mit Cost Factors benötigen. Der Verify-Modus hilft, wenn bereits ein bcrypt-Hash vorliegt und geprüft werden soll, ob ein Kandidatenpasswort dazu passt.

Der Cost Factor von bcrypt ist ein Exponent: cost 10 bedeutet ungefähr 2^10 interne Arbeitseinheiten, cost 12 ungefähr 2^12, und jede Erhöhung um 1 verdoppelt die Arbeit für Angreifer und legitime Logins. Eine konservative bcrypt-Basis ist ein Work Factor von 10 oder höher, wenn Argon2id oder scrypt nicht verfügbar sind; der konkrete Wert sollte auf dem Server gemessen werden, der echte Authentifizierung verarbeitet.

Dieses Tool erlaubt Cost-Werte von 4 bis 31, mit 12 als Standard. Niedrige Werte eignen sich nur für Demos und schnelle Tests; Produktionssysteme sollten den höchsten Cost wählen, bei dem Login-Verifikation unter Last noch akzeptabel reagiert. Praktisch heißt das: eine spürbare, aber vertretbare Verzögerung anstreben, Login-Latenz überwachen und den Cost mit besserer Hardware erhöhen.

Der Cost wird in jedem bcrypt-Hash gespeichert, daher bleiben alte Hashes nach einer Policy-Änderung prüfbar. Ein gängiges Upgrade-Muster ist: alten Hash beim Login verifizieren, danach dasselbe Passwort mit dem neuen Cost neu hashen und den gespeicherten Wert ersetzen.

Im Generate-Modus geben Sie ein Passwort oder eine Passphrase ein, wählen den Cost Factor und starten die Berechnung. Der Browser erzeugt automatisch ein zufälliges Salt und gibt eine bcrypt-Zeichenkette zurück, die mit $2b$ beginnt. Dasselbe Passwort sollte bei erneuter Ausführung andere Hashes liefern, weil jedes Mal ein neues Salt verwendet wird.

Im Verify-Modus fügen Sie das Kandidatenpasswort als Eingabe und den gespeicherten bcrypt-Hash in das Prüffeld ein. Das Tool liest Cost und Salt aus dem gespeicherten Hash, führt bcrypt mit denselben Parametern aus und meldet, ob das Passwort passt. Unterstützt werden moderne bcrypt-Zeichenketten mit $2a$, $2b$ oder $2y$.

Alles läuft clientseitig mit der JavaScript-bcrypt-Implementierung der Seite. Passwort und Hash werden nicht an den Server gesendet, was das Tool für Beispiele und Debugging bequem macht. Für echte Benutzerkonten sollten Passwörter dennoch im Backend mit einer gepflegten serverseitigen Bibliothek, Rate Limiting, Audit-Logging und sicherem Betrieb gehasht und geprüft werden.

Entwickler benötigen bcrypt meist für praktische Aufgaben: einen bcrypt-Passwort-Hash für einen Testbenutzer erzeugen, prüfen, ob ein Passwort zu einem gespeicherten Hash passt, Cost Factors vergleichen, die Bedeutung einer $2b$-Zeichenkette verstehen oder eine Migration von älterer Passwortspeicherung planen.

Diese Seite beantwortet typische Fragen zu bcrypt generator und verifier: wie man online einen bcrypt-Hash erzeugt, wie man einen bcrypt-Hash prüft, was ein bcrypt-Salt ist, wie der Cost Factor funktioniert, wie bcrypt im Vergleich zu Argon2 einzuordnen ist und warum das 72-Byte-Limit wichtig ist. Das Produktionsmuster bleibt einfach: eindeutigen gesalzenen Hash erzeugen, die vollständige bcrypt-Zeichenkette speichern, mit einer gepflegten Bibliothek prüfen und neu hashen, wenn der gespeicherte Cost schwächer als die aktuelle Policy wird.