Crypto

Bcrypt

bcrypt-Hashes erzeugen und Eingaben mit bestehenden Hashes vergleichen.

bcrypt ist heute vor allem ein Verfahren für bestehende Systeme. Für neue Passwortspeicher empfiehlt OWASP Argon2id (alternativ scrypt). bcrypt verarbeitet höchstens 72 Eingabe-Bytes; längere Eingaben werden hier bewusst abgelehnt, damit keine unbemerkte Kürzung entsteht.

Eingabe

Passwort oder Text

0 von maximal 72 UTF-8-Bytes

Kostenfaktor

Browser-Grenze dieses Tools: 4–16. OWASP nennt für bcrypt mindestens 10; produktive Systeme müssen den Faktor auf ihrer eigenen Hardware messen und regelmäßig neu bewerten.

Ergebnis

Text eingeben und den Hash ausdrücklich erzeugen.

Gut zu wissen

Was ist bcrypt?

Eine absichtlich langsame Passwort-Hash-Funktion mit integriertem Salt und einstellbarem Kostenfaktor — keine Verschlüsselung und nicht entschlüsselbar.

Salt inklusive

bcrypt erzeugt einen zufälligen Salt und speichert Kostenfaktor und Salt im Hash. Der Salt ist nicht geheim.

Kostenfaktor

Jede Erhöhung um eins verdoppelt ungefähr den Rechenaufwand. Ein geeigneter Wert hängt von Hardware und Antwortzeitbudget des Zielsystems ab.

Wichtige Grenze

bcrypt berücksichtigt maximal 72 Eingabe-Bytes. Dieses Tool zeigt die UTF-8-Bytezahl und lehnt längere Eingaben ab, statt sie still zu kürzen.

Häufige Fragen

Was ist bcrypt?

bcrypt ist eine Passwort-Hash-Funktion von Niels Provos und David Mazières. Sie integriert einen zufälligen Salt und einen einstellbaren Kostenfaktor. Ein Hash wird verglichen, nicht entschlüsselt.

Was ist der bcrypt-Kostenfaktor?

Der Kostenfaktor steuert den Rechenaufwand exponentiell; jede Erhöhung um eins verdoppelt ihn ungefähr. OWASP nennt mindestens 10 für bcrypt, der konkrete Produktivwert muss aber auf der Zielhardware gemessen werden.

Sollte ich bcrypt für ein neues System verwenden?

Nicht als erste Wahl. OWASP empfiehlt für neue Systeme Argon2id und nennt scrypt als Alternative; bcrypt bleibt vor allem für bestehende Systeme relevant. Hashing und Richtlinien gehören in die serverseitige Anwendung.

Was prüft der Vergleich?

Er prüft nur, ob die eingegebene Bytefolge zum vorliegenden bcrypt-Hash passt. Er bewertet weder die Qualität des Passworts noch die Sicherheit eines Kontos oder der umgebenden Anwendung.