使用bcrypt算法生成安全的密码哈希
工具功能
- 安全哈希：使用具有自适应成本因子的bcrypt算法: 使用具有自适应成本因子的bcrypt算法进行安全密码哈希
- 双模式：支持密码哈希和验证两种模式: 支持密码哈希和验证两种模式
- 可配置轮数：成本因子可从4调整到31: 成本因子可从4调整到31轮
- 盐值生成：为每个哈希自动生成盐值: 为每个哈希操作自动生成盐值
使用方法
- 输入密码: 输入您要哈希或验证的密码
- 配置设置: 选择操作模式并调整轮数
- 生成或验证: 生成哈希或验证密码并复制结果
生成原理
什么是Bcrypt密码哈希
Bcrypt是由Niels Provos和David Mazières设计的密码哈希函数，基于Blowfish密码算法。它专门为密码存储而设计，通过可配置的工作因子提供自适应安全性。Bcrypt集成了自动盐生成以防止彩虹表攻击，并使用计算昂贵的过程使暴力攻击变得不切实际。它被广泛认为是现代应用程序中密码哈希的黄金标准。
自适应成本因子和安全性
Bcrypt的自适应成本因子允许开发人员根据硬件能力和安全要求调整计算复杂性。工作因子（轮数）可以随着硬件变快而增加，保持对暴力攻击的安全性。典型值在生产环境中为10-12轮，高安全应用程序使用更高值（14-16）。计算时间的指数增长使得即使使用现代硬件也无法破解密码。
盐生成和哈希过程
Bcrypt为每个密码自动生成唯一的随机盐，防止彩虹表攻击并确保相同密码产生不同的哈希。该过程将密码与盐结合，然后应用多轮Blowfish加密算法。生成的哈希包括盐和成本因子，使其自包含且可验证。这种设计确保即使哈希数据库被泄露，单个密码仍然受到保护。
常见问题
- 什么是 Bcrypt，为什么要使用它？
- Bcrypt 是专门为安全密码存储设计的密码哈希函数。与 MD5 或 SHA-1 等通用哈希函数不同，bcrypt 故意设计得缓慢且计算成本高，使暴力破解攻击变得不切实际。它为每个密码自动生成随机盐值，并允许随着时间推移增加成本因子以维护安全性。
- 轮数是什么意思？
- 轮数（或成本因子）决定哈希过程运行的迭代次数。每增加一轮，计算时间翻倍。10 轮大约需要 100ms，而 12 轮大约需要 400ms。生产环境建议使用 10-12 轮，高安全系统可能使用 14-16 轮。避免使用少于 8 轮。
- 为什么相同的密码每次生成不同的哈希？
- Bcrypt 为每个哈希自动生成随机盐值。这是核心安全特性 - 即使相同的密码也会因为不同的盐值而产生不同的哈希。这可以防止彩虹表攻击，并确保攻击者无法使用预计算的哈希列表。盐值包含在哈希本身中，因此可以在验证期间提取。
- Bcrypt 哈希可以反向恢复吗？
- 不可以，bcrypt 是单向哈希函数。没有数学方法可以从哈希中恢复原始密码。这正是它对密码存储安全的原因。要验证密码，您需要再次哈希相同的密码（使用存储的盐值），并将结果与存储的哈希进行比较。如果哈希匹配，则密码正确。
- 在生产环境中使用 Bcrypt 安全吗？
- 是的，Bcrypt 是生产使用的行业标准。所有主要编程语言都使用它，包括 Node.js (bcrypt.js)、Python (bcrypt)、PHP (password_hash) 和 Java (jBCrypt)。OWASP、NIST 和安全专家都推荐用于密码存储。只需确保使用适当的轮数（10-12），安全地存储哈希，并通过 HTTPS 传输密码。
相关文档
- 维基百科 - Bcrypt 密码哈希算法 - 全面概述 bcrypt 密码哈希函数及其设计原理
- OWASP 密码存储备忘单 - 安全密码存储和哈希的行业最佳实践和指南
- jBCrypt - Bcrypt 的 Java 实现 - 实现 bcrypt 密码哈希算法的开源 Java 库
- Blowfish 密码规范 - bcrypt 所基于的 Blowfish 加密算法技术规范
- NIST 密码指南 SP 800-63B - NIST 数字身份指南官方文档，包含密码哈希建议