Хеширование паролей
Хешируйте пароль через Argon2id, bcrypt, scrypt или PBKDF2 с параметрами OWASP и случайной солью и проверяйте пароли по сохранённым хешам.
При каждом нажатии создаётся новая случайная соль длиной 16 байт, поэтому хеш каждый раз разный, и все они проходят проверку. Параметры соответствуют OWASP Password Storage Cheat Sheet. Сохраняйте строку целиком: в ней есть алгоритм, параметры, соль и хеш.
Проверить пароль по хешу
Работает полностью в вашем браузере. Ваши данные никуда не загружаются.
Что такое Хеширование паролей?
Инструмент создаёт готовый к хранению хеш пароля одним щелчком, используя минимальные параметры из памятки OWASP по хранению паролей и свежую случайную соль. Встроенная проверка сверяет пароль с любой строкой хеша bcrypt, Argon2, scrypt или PBKDF2.
Как пользоваться Хеширование паролей
- Введите пароль в поле Пароль.
- Выберите Алгоритм; рекомендуется Argon2id.
- Нажмите Хешировать и скопируйте Закодированный хеш.
- Чтобы проверить пароль, вставьте хеш в Проверить пароль по хешу, введите пароль и нажмите Проверить.
Пример
Password hunter2, Argon2id
$argon2id$v=19$m=19456,t=2,p=1$ojaAuqtpNZXLTJQVRP8teg$52egAc/OkuGZUe+ByQP/IxYP4pL6RNdbCi6tx97q308
Соль случайна, поэтому каждый раз вы получите другую строку; все они проходят проверку.
Когда использовать Хеширование паролей
Используйте для создания тестовых данных, заведения учётной записи администратора, просмотра формата хеша или проверки пароля по хешу при отладке. В продакшене хешируйте пароли на сервере поддерживаемой библиотекой; никогда не хешируйте на клиенте вместо сервера.
Как работает Хеширование паролей
Argon2id (m=19 MiB, t=2, p=1), bcrypt (cost 12) и scrypt (N=2^17, r=8, p=1) вычисляются через hash-wasm (WebAssembly); PBKDF2-HMAC-SHA-256 с 600 000 итераций использует Web Crypto API браузера. Каждый запуск использует новую 16-байтовую соль из crypto.getRandomValues. Форматы вывода: bcrypt $2b$, строка PHC Argon2 $argon2id$v=19$m=…,t=…,p=…$salt$hash, $scrypt$ln=…,r=…,p=…$salt$hash и passlib $pbkdf2-sha256$iterations$salt$hash. Проверка разбирает строку и пересчитывает хеш с сохранёнными параметрами (сравнение за постоянное время).
Распространенные Случаи Использования
- Создание хешированного пароля администратора для начальных данных БД
- Проверка того, что сохранённый хеш bcrypt соответствует паролю
- Тестовые данные для кода аутентификации
- Сравнение форматов хешей разных алгоритмов
Примечание по Безопасности
Всё выполняется в вашем браузере. Не вставляйте хеши продакшен-паролей вместе с настоящими паролями на общих компьютерах.
Часто Задаваемые Вопросы
Какой алгоритм использовать?
Argon2id для новых систем. Используйте scrypt или bcrypt, если на платформе нет Argon2, и PBKDF2, когда требуется соответствие FIPS-140.
Почему хеш каждый раз разный?
Для каждого хеша используется новая случайная соль. Соль хранится внутри закодированной строки, поэтому проверка по-прежнему работает.
Можно ли обратить хеш?
Нет. Атакующие могут лишь угадывать пароли и хешировать каждую догадку, что эти медленные алгоритмы делают дорогим.
Какие форматы хешей можно проверить?
bcrypt ($2a$, $2b$, $2y$), строки PHC Argon2, строки $scrypt$, passlib $pbkdf2-sha1/sha256/sha512$ и хеши Django pbkdf2_sha256$.