齐齐哈尔市建设局网站友情链接推广平台

常用安全哈希算法bcrypt

背景

在设计一个系统的时候，肯定都有会有用户身份认证的问题，一般对用户校验的时候，都是对用户存在数据库总的密码哈希值进行判断，从而避免密码泄露和反向解密。

虽然MD5、SHA-1等哈希算法在某些场景下也可以用于密码加密，但他们有一个共同点就是相同输入生成的hash值是不变的, 这就给暴力破解或Rowbain表破解创造了机会.
而Bcrypt算法具有一个重要的特性，即每次生成的哈希值都不同。这是由于Bcrypt算法在计算哈希值时，会使用一个随机的“盐值”来加密密码。
盐值是一个随机的字符串，会与密码组合在一起，然后再进行哈希处理。由于盐值是随机的，所以即使使用相同的密码，每次生成的哈希值也会不同。

另外，Bcrypt算法还可以使用一个“cost值”来控制哈希计算的强度和速度。cost值越高，计算时间和内存开销就越大，从而使得破解哈希值的攻击变得更加困难。

Bcrypt算法是一种非常安全的密码加密算法，已经被广泛应用于各种编程语言和操作系统中。

什么是哈希算法bcrypt

bcrypt是由Niels Provos和David Mazières设计的密码哈希函数，他是基于Blowfish密码而来的，并于1999年在USENIX上提出。

除了加盐来抵御rainbow table 攻击之外，bcrypt的一个非常重要的特征就是自适应性，可以保证加密的速度在一个特定的范围内，即使计算机的运算能力非常高，可以通过增加迭代次数的方式，使得加密速度变慢，从而可以抵御暴力搜索攻击。

bcrypt函数是OpenBSD和其他系统包括一些Linux发行版（如SUSE Linux）的默认密码哈希算法。

bcrypt主要用于存储和验证用户密码。由于其慢速和加盐的特性，bcrypt能够有效防止暴力破解和彩虹表攻击。

python

import bcrypt# 明文密码
plain_password = 'admin123'# 生成盐值并哈希密码
hashed_password = bcrypt.hashpw(plain_password.encode('utf-8'), bcrypt.gensalt())# 输出哈希值
print(hashed_password.decode('utf-8'))

java

import org.mindrot.jbcrypt.BCrypt;public class BcryptExample {public static void main(String[] args) {// 明文密码String plainPassword = "admin123";// 生成盐值并哈希密码String hashedPassword = BCrypt.hashpw(plainPassword, BCrypt.gensalt());// 输出哈希值System.out.println(hashedPassword);}
}

哈希值验证

bcrypt 哈希值的格式如下：

$2a\$10$3eBZzQ7q9XyYwZ1Q2W3X4e5R6T7U8V9W0X1Y2Z3A4B5C6D7E8F9G0H1I

• $2a$：bcrypt 算法版本。
• 10：Cost Factor（迭代次数）。
• 3eBZzQ7q9XyYwZ1Q2W3X4e：盐值（22 个字符）。
• 5R6T7U8V9W0X1Y2Z3A4B5C6D7E8F9G0H1I：哈希值（31 个字符）。

在线工具

https://bcrypt-generator.com/

编程方式

步骤 1：提取盐值

从哈希值中提取盐值部分。例如：

$2a$10$3eBZzQ7q9XyYwZ1Q2W3X4e
盐值为 3eBZzQ7q9XyYwZ1Q2W3X4e。

步骤 2：重新计算哈希

使用相同的盐值和 Cost Factor，对明文密码重新计算哈希值。

步骤 3：比较哈希值

将重新计算的哈希值与原始哈希值进行比较。如果一致，则说明明文密码正确。

import bcrypt# 原始哈希值
hashed_password = b'$2a\$10$3eBZzQ7q9XyYwZ1Q2W3X4e5R6T7U8V9W0X1Y2Z3A4B5C6D7E8F9G0H1I'# 明文密码
plain_password = 'admin123'# 验证
if bcrypt.checkpw(plain_password.encode('utf-8'), hashed_password):print("密码匹配")
else:print("密码不匹配")

Bcrypt的原理

Bcrypt算法是一种密码哈希函数，它采用了salt和cost两种机制来增强密码的安全性。

• 盐值（Salt）: 为了防止彩虹表攻击，Bcrypt算法会生成一个随机salt值，将salt与密码拼接后再进行哈希运算。这个salt值是由22个可打印字符组成的字符串，它的作用是使得相同密码的哈希值在不同的salt值下产生不同的结果，从而增加密码破解的难度。

• 迭代次数Rounds (Cost Factor): Bcrypt算法会将明文密码和salt进行多次迭代的哈希运算。迭代的次数是由cost值决定的，cost值越大，运算次数越多，从而增加密码破解的难度。通常来说，建议将cost值设置为12，这样可以保证安全性和性能的平衡。例如，Rounds = 10 表示哈希计算会进行 2^10 = 1024 次迭代。

通常建议 Rounds 值至少为 10，以确保足够的安全性。Rounds 值越高，哈希计算所需的时间越长。