Jelszó-hash-generátor és -ellenőrző

A SHA-256 modern GPU-n másodpercenként milliárdnyi találgatást fut. Egy 8 karakteres jelszónak jóval 10¹³ alatti kombinációja van — órányi GPU-idő, nagy rendszeren percek. A jelszó-hash függvények (KDF-ek) költségparaméterekkel küzdenek ez ellen: a bcrypt a magját 2^költség-szor ismétli, a PBKDF2 a HMAC-et több százezerszer iterálja, a scrypt és az Argon2id pedig találgatásonként megabájtnyi memóriát igényel, így a GPU-k (gyorsak, de magonként kevés memóriával) elvesztik előnyüket. A só — véletlen, és nyíltan tárolódik a hash-karakterláncban — megakadályozza az előre kiszámított szivárványtáblákat, és minden találgatást felhasználónként újra kell számolni.

A GPU-nak ezer magja van, de minden magnak csak kevés gyors memóriája. Az a KDF, amely jelszavanként 19 MiB munkakészletet igényel, az támadót annyi párhuzamos találgatásra korlátozza, ahány 19 MiB-os memóriadarabja van — ezért lehet az Argon2id 19 MiB-on a gyakorlatban erősebb, mint a bcrypt 15-ös költségen, annak ellenére, hogy a laptopon kevesebb idő alatt fut. A PBKDF2-nek nincs erre válasza: az egyetlen szabályozója az iterációszám, a szilícium pedig ezt lineárisan skálázza.

A moduláris-crypt / PHC-formátum önleíró: a $argon2id$v=19$m=19456,t=2,p=1$ICEiIyQlJicoKSorLC0uLw$WTGpK4hf... karakterláncban a mezők: algoritmus, verzió, paraméterek (m = memória KiB-ban, t = menetek, p = sávok), base64-só, base64-hash. A bcrypt megelőzi a szabványt, és saját tömör formát használ: $2b$ variáns, 12 költség, majd só és hash a bcrypt saját base64-ábécéjében (./A-Za-z0-9). Ez az oldal ellenőrzése mindezeket elfogadja, és megmutatja az elemzett mezőket — bármely talált hash beilleszthető, és megtekinthető, mire bomlik.

• Gyors hash jelszavakhoz. Az MD5/SHA-1/SHA-256 jelszóoszlopok másodpercenként milliárdnyi találgatással, kereskedelmi GPU-kon törhetők fel. Fájlokhoz és adatokhoz a Hash-generátor használható; jelszavakhoz ennek az oldalnak az algoritmusai.
• Só megosztása. Egy só minden felhasználónak azt jelenti, hogy az azonos jelszavak azonos hash-t kapnak, és a szivárványtáblák visszatérnek. Minden itteni hash friss, 16 bájtos véletlen sót kap.
• A bcrypt 72 bájtjának figyelmen kívül hagyása. A "a"*100 és a "a"*72 azonos hash-t ad — a farok elvész. Az oldal a beviteli mezőnél figyelmeztet, ha a jelszó 72 bájtnál hosszabb. Az Argon2-nek nincs ilyen korlátja.
• Hash-ek összehasonlítása ==-vel a kódban. Az ellenőrzésnek konstans idejűnek kell lennie; az oldal motorja ezt belsőleg megteszi (újraszámolja, majd összeveti a tárolt bájtokat), de ha a módszert másolja, konstans idejű összehasonlítás alkalmazandó.
• Paraméterek hangolása gyors fejlesztői gépen. A cél kb. 250–500 ms hash-elési idő a termelési felhasználók mediánhardverén, nem a munkaállomáson. A Benchmark gomb megmutatja, mit tapasztal ez a böngésző.
• Újra-hash-elés minden bejelentkezési ellenőrzésnél. Először az ellenőrzés fut le; csak sikeres ellenőrzés után következik az újra-hash-elés (például a költség növeléséhez), és az új karakterlánc tárolandó. A PHP password_needs_rehash() függvénye éppen erre szolgál.

Melyiket válasszam? Argon2id az OWASP-minimumokkal legalább. Ha a futtatókörnyezet nem kínálja: scrypt, majd bcrypt (olyan költséggel, hogy a hash-elés ≥250 ms legyen). A PBKDF2-t csak ott, ahol a tanúsítás megköveteli.

Miért látható a kimeneti karakterláncban véletlen só? A só nem titok — szándékosan nyíltan tárolódik a PHC-karakterláncban, így az ellenőrzéshez csak a karakterlánc és a jelölt jelszó kell. Feladata az egyediség, nem a titkosság.

Számít a variáns ($2a$ / $2b$ / $2y$)? ASCII-jelszavaknál azonos hash-t adnak; a $2a$ az 1990-es eredeti, a $2b$ egy ritka előjel-kiterjesztési hibát javított (2014), a $2y$ pedig a PHP jelölése arra, hogy a javítás jelen van. Az ellenőrzés mindhármat elfogadja.

Mennyi ideig tart egy hash? Nagyjából 250–500 ms bejelentkezésenként szerver-hardveren. 100 ms alatt az offline feltörés olcsó; 1 mp fölött a felhasználók panaszkodnak, mielőtt a biztonság javulna.

Ellenőrizhetek máshol generált hash-t? Igen — beilleszthető, és a jelölt jelszó megadható. Ismert jó formátumok: a PHP password_hash (bcrypt $2y$ és Argon2id), a Python passlib, a django argon2 hasher és a Tarsnap scrypt eszköze által használt scrypt karakterláncformátum.

Mit csinál a „benchmark” gomb? Az aktuális jelszót egyszer hash-eli minden algoritmussal az oldal alapparamétereivel, és a böngészőben mért időt jelenti — érzés a költségkülönbségekről, nem szigorú mérés.