Question 1

Vad är bcrypt?

Accepted Answer

Bcrypt är en lösenordshashfunktion designad av Niels Provos och David Mazières, baserad på Blowfish-chiffret. Den är speciellt utformad för säker lösenordslagring och är en av de mest använda lösenordshashalgoritmerna i världen.

Question 2

Hur fungerar bcrypt?

Accepted Answer

Bcrypt tar ett lösenord och ett salt som indata, kör sedan en dyr nyckelinställningsprocess (Eksblowfish) som producerar en hash med fast längd. Hashen inkluderar algoritmidentifieraren, kostnadsfaktorn, saltet och själva hashvärdet.

Question 3

Vad är kostnadsfaktorn i bcrypt?

Accepted Answer

Kostnadsfaktorn är ett tal från 4 till 31 som bestämmer hur många iterationer av nyckelinställningen som utförs. Varje ökning fördubblar beräkningstiden. En kostnad på 10 innebär 2^10 = 1024 iterationer. Rekommenderade värden är 10-12 för de flesta applikationer.

Question 4

Vad är ett salt och varför är det viktigt?

Accepted Answer

Ett salt är ett slumpmässigt 128-bitars värde som är unikt för varje lösenordshash. Det förhindrar angripare från att använda förberäknade regnbågstabeller och säkerställer att identiska lösenord producerar olika hashar. Bcrypt genererar automatiskt saltet och bäddar in det i hashen.

Question 5

Är bcrypt fortfarande säkert 2025?

Accepted Answer

Ja, bcrypt förblir en av de rekommenderade lösenordshashalgoritmerna. Även om det finns nyare algoritmer som Argon2, anses bcrypt vara säkert när det används med en lämplig kostnadsfaktor (12 eller högre).

Question 6

Vad är den maximala lösenordslängden för bcrypt?

Accepted Answer

Bcrypt har en maximal inmatningslängd på 72 byte. Lösenord längre än 72 byte trunkeras tyst. För längre lösenord, överväg förhashning med SHA-256 innan du tillämpar bcrypt.

Question 7

Hur jämför sig bcrypt med MD5, SHA-256 och andra hashfunktioner?

Accepted Answer

Till skillnad från MD5 och SHA-256 som är designade för hastighet, är bcrypt avsiktligt långsamt och beräkningsmässigt dyrt. Allmänna hashfunktioner kan beräknas miljarder gånger per sekund, vilket gör dem sårbara för brute-force-attacker.

Question 8

Vad är bcrypt-hashformatet?

Accepted Answer

En bcrypt-hash följer formatet: $2b$cost$salt+hash. Exempel: $2b$10$N9qo8uLOickgx2ZMRZoMyeIjZAgcfl7p92ldGxad68LJZdL17lhWy. Prefixet $2b$ identifierar algoritmversionen, följt av kostnadsfaktorn, ett 22-teckens salt och en 31-teckens hash.

Question 9

Vad är skillnaden mellan $2a$, $2b$ och $2y$?

Accepted Answer

Dessa är bcrypt-versionsidentifierare. $2a$ är originalversionen, $2b$ åtgärdar ett mindre problem med lösenordslängdshantering i OpenBSD, och $2y$ är den PHP-specifika varianten.

Question 10

Är det säkert att använda en online bcrypt-generator?

Accepted Answer

När bearbetningen körs helt i din webbläsare (klientsidan) är det helt säkert. Inga lösenordsdata överförs till någon server. Detta verktyg bearbetar allt lokalt med JavaScript.

Question 11

Hur väljer man rätt kostnadsfaktor?

Accepted Answer

Kostnadsfaktorn bör vara så hög som möjligt medan hashgenereringen förblir acceptabelt snabb. En bra regel: välj kostnaden där hashning tar cirka 250-500ms på din server.

Question 12

Kan bcrypt användas för att kryptera data?

Accepted Answer

Nej, bcrypt är en envägshashfunktion, inte en krypteringsalgoritm. Den kan inte vändas för att återställa det ursprungliga lösenordet. Den är utformad uteslutande för lösenordsverifiering.

Question 13

Varför är bcrypt långsamt av design?

Accepted Answer

Bcrypt är avsiktligt långsamt för att göra brute-force- och ordboksattacker beräkningsmässigt dyra. Medan en normal hashfunktion kan bearbeta miljoner lösenord per sekund, bearbetar bcrypt bara några hundra.

Question 14

Hur verifierar jag ett lösenord mot en bcrypt-hash?

Accepted Answer

För att verifiera, extrahera saltet och kostnadsfaktorn från den lagrade hashen, kör bcrypt med samma parametrar på inmatningslösenordet och jämför den resulterande hashen med den lagrade hashen. Om de matchar är lösenordet korrekt.

Bcrypt-generator

Hur man använder Bcrypt-generator