Generator & Verifier Hash Bcrypt

Apa Itu Bcrypt?

// Node.js — bcryptjs / bcrypt (emits $2b$)
const bcrypt = require('bcrypt');
const hash = await bcrypt.hash('correct horse battery staple', 12);
// -> $2b$12$dUSFKqT1FCMYZ6hcQfsxuONizEqcX8IGK8snfVSowP5Uu.TDJoPUq
const ok = await bcrypt.compare('correct horse battery staple', hash); // true

# Python — bcrypt
import bcrypt
hashed = bcrypt.hashpw(b'correct horse battery staple', bcrypt.gensalt(12))
bcrypt.checkpw(b'correct horse battery staple', hashed)  # True

# PHP — password_hash (emits $2y$)
$hash = password_hash('correct horse battery staple', PASSWORD_BCRYPT, ['cost' => 12]);
password_verify('correct horse battery staple', $hash); // true

# Apache htpasswd CLI — bcrypt entry to stdout (-B bcrypt, -b inline, -n stdout)
htpasswd -Bbn admin 'correct horse battery staple'
# -> admin:$2y$12$dUSFKqT1FCMYZ6hcQfsxuONizEqcX8IGK8snfVSowP5Uu.TDJoPUq

Fitur Utama

Contoh Generator Bcrypt

password: correct horse battery staple
cost: 12
prefix: $2b$

$2b$12$dUSFKqT1FCMYZ6hcQfsxuONizEqcX8IGK8snfVSowP5Uu.TDJoPUq

password: correct horse battery staple
hash: $2b$12$dUSFKqT1FCMYZ6hcQfsxuONizEqcX8IGK8snfVSowP5Uu.TDJoPUq

✓ Cocok — kata sandi benar untuk hash ini

$2b$12$dUSFKqT1FCMYZ6hcQfsxuONizEqcX8IGK8snfVSowP5Uu.TDJoPUq

version: $2b$ · cost: 12 · salt: dUSFKqT1FCMYZ6hcQfsxuO · digest: NizEqcX8IGK8snfVSowP5Uu.TDJoPUq

Cara Menggunakan Generator Bcrypt

1. 1

   Masukkan Kata Sandi & Pilih Biaya

   Pada tab Buat, ketik kata sandi atau klik Kata sandi acak. Pilih faktor biaya (4–15; 12 adalah default modern) dan prefiks versi — $2b$, $2a$, atau $2y$ — agar sesuai dengan stack Anda.

2. 2

   Buat Hash

   Hash bcrypt dihitung secara lokal dengan salt acak baru dan muncul sebagai satu string $2b$12$... sepanjang 60 karakter. Klik Salin untuk mengambilnya, atau buat ulang untuk hash ber-salt baru.

3. 3

   Baca Anatomi atau Verifikasi

   Panel anatomi memisahkan hash menjadi versi, biaya, salt, dan digest. Beralih ke tab Verifikasi untuk menempel hash tersimpan dan kata sandi dan memastikan secara langsung apakah keduanya cocok.

Common Errors

bcrypt.decrypt(hash)  // no such operation

bcrypt.compare(password, hash)  // returns true / false

cost: 4  // far too fast, weak against brute force

cost: 12  // modern default, resists brute force

hash(pw) === storedHash  // fails — different salts

bcrypt.compare(pw, storedHash)  // correct check

Kasus Penggunaan Umum

Isi Hash Kata Sandi di Database

Buat hash bcrypt untuk akun admin atau uji dan masukkan langsung ke tabel pengguna Anda, sehingga Anda dapat login tanpa harus menyiapkan alur pendaftaran lengkap terlebih dahulu.

Debug Login yang Gagal

Verifikasi kata sandi yang diketahui benar terhadap hash tersimpan untuk memastikan apakah hash itu sendiri sudah benar, memisahkan bug dari kode autentikasi Anda.

Pilih Faktor Biaya yang Tepat

Buat hash pada beberapa level biaya pada perangkat keras Anda sendiri untuk merasakan berapa lama waktu yang diperlukan setiap level, lalu pilih work factor yang tahan brute force tanpa memperlambat login nyata.

Buat Entri htpasswd / Basic Auth

Hasilkan hash bcrypt $2y$ untuk kredensial Apache, Docker Registry, atau Caddy, lalu masukkan ke baris user:hash untuk HTTP Basic Auth.

Bangun Fixture Pengujian

Cetak hash bcrypt yang deterministik-per-kata-sandi untuk mengisi pengujian integrasi alur login atau reset kata sandi tanpa menyiapkan server autentikasi nyata.

Audit Hash yang Anda Temukan

Baca anatomi string bcrypt dalam konfigurasi atau dump untuk memeriksa faktor biayanya, dan verifikasi terhadap kata sandi yang Anda harapkan untuk memastikan kecocokan.

Detail Teknis

Berbasis Blowfish, Biaya Adaptif

Bcrypt menurunkan hash-nya dari penyiapan kunci yang mahal pada cipher Blowfish, diulang 2^biaya kali. Menaikkan biaya satu langkah menggandakan kerjanya, menjaga fungsi tetap lambat terhadap brute force saat perangkat keras membaik.

Salt Acak 128-Bit

Setiap hash menanamkan salt acak 16-byte (128-bit), yang di-encode Base64 sebagai 22 karakter setelah biaya. Salt membuat setiap hash unik, sehingga kata sandi identik tidak pernah berbagi digest dan tabel pelangi tidak berlaku.

Format 60 Karakter yang Menggambarkan Diri Sendiri

Keluarannya adalah $version$cost$salt+digest — string tetap sepanjang 60 karakter yang membawa segala yang diperlukan untuk memverifikasinya. Tidak diperlukan kolom salt atau penyimpanan parameter terpisah.

Batas Kata Sandi 72 Byte

Bcrypt hanya meng-hash 72 byte pertama dari sebuah kata sandi; apa pun setelah itu diabaikan secara diam-diam. Untuk passphrase yang sangat panjang, pra-hashing (misalnya dengan SHA-256) sebelum bcrypt adalah mitigasi yang umum.

Verifikasi, Jangan Dekripsi

Bcrypt bersifat satu arah. Verifikasi menjalankan ulang hash pada kata sandi kandidat menggunakan salt dan biaya yang diurai dari hash tersimpan, lalu membandingkan digest dalam waktu konstan. Tidak ada operasi yang memulihkan plaintext.

Catatan Kejujuran & Peringatan

Hash dihitung secara lokal dan tidak pernah diperiksa terhadap sistem langsung. Hash yang disalin dan kata sandi apa pun yang Anda ketik tersimpan di clipboard dan memori browser Anda — perlakukan sebagai rahasia dan bersihkan clipboard Anda setelah menempel ke produksi.

Praktik Terbaik

Gunakan Biaya 12 atau Lebih Tinggi

Biaya 12 adalah baseline modern; naikkan ke arah 14 untuk sistem sensitif selama latensi login tetap dapat diterima. Evaluasi ulang secara berkala — yang cukup lambat lima tahun lalu murah untuk diserang hari ini.

Jangan Pernah Menyimpan atau Mencatat Plaintext

Simpan hanya hash bcrypt, jangan pernah kata sandi asli, dan jauhkan kata sandi dari log dan pesan kesalahan. Seluruh nilai bcrypt hilang jika plaintext bocor bersamanya.

Biarkan bcrypt Menangani Salt

Bcrypt menghasilkan dan menanamkan salt acak yang aman untuk Anda. Jangan menyediakan salt statis Anda sendiri atau menggunakannya kembali — salt acak per-hash itulah yang menggagalkan tabel pelangi.

Perhatikan Batas 72 Byte

Jika Anda menerima passphrase panjang, ingat bahwa bcrypt mengabaikan byte setelah 72. Pertimbangkan pra-hashing dengan SHA-256, atau evaluasi Argon2id, ketika input yang sangat panjang harus tercakup sepenuhnya.

FAQ Generator Bcrypt