Bcrypt-generator & -checker

Een bcrypt-tool die een wachtwoord hasht met een kostenfactor die je kiest, en een wachtwoord verifieert tegen een bestaande bcrypt-hash. Alles draait lokaal in je browser, dus wachtwoorden blijven op je apparaat.

Bcrypt is een adaptieve wachtwoord-hashfunctie die specifiek is ontworpen voor het opslaan van wachtwoorden. Anders dan een snelle hash zoals SHA-256 is hij bewust traag en bevat hij een ingebouwde salt, wat precies is wat je wilt bij het beschermen van opgeslagen wachtwoorden.

De kostenfactor (de rondes) bepaalt hoeveel werk elke hash kost. Elke extra ronde verdubbelt de berekening, dus het verhogen van de kosten maakt grootschalige brute-force- en GPU-aanvallen veel trager, terwijl een enkele inlog snel genoeg blijft. Een waarde van 10 tot 12 is een gangbare keuze.

Bcrypt mengt een willekeurige salt in elke hash, zodat hetzelfde wachtwoord elke keer een andere hash oplevert. Dat verslaat voorberekende rainbow tables, en verificatie werkt nog steeds omdat de salt in de hash zelf is opgeslagen.

Om een wachtwoord te controleren, leest de verificatiemodus de salt en de kosten uit de opgeslagen hash, hasht de kandidaat op dezelfde manier, en vergelijkt, en daarom heb je alleen de hash en het wachtwoord nodig, niet de oorspronkelijke salt.

Het hashen en verifieren draait volledig in je browser, dus er wordt niets geüpload. Vermijd toch het plakken van echte productiewachtwoorden op een gedeelde computer.