Gerador e verificador de hash de palavras-passe

O SHA-256 numa GPU moderna corre a milhares de milhões de adivinhações por segundo. Uma palavra-passe de 8 caracteres tem bem menos de 10¹³ combinações — horas de tempo de GPU, minutos num equipamento grande. As funções de hash de palavras-passe (KDFs) combatem isto com parâmetros de custo: o bcrypt repete o seu núcleo 2^custo vezes, o PBKDF2 itera HMAC centenas de milhares de vezes, e o scrypt e o Argon2id exigem ainda megabytes de memória por adivinhação, para que as GPUs (rápidas mas pobres em memória por núcleo) percam a vantagem. Um sal — aleatório, guardado às claras dentro da cadeia de hash — trava as tabelas arco-íris pré-calculadas e obriga cada adivinhação a ser calculada de novo para cada utilizador.

Uma GPU tem milhares de núcleos, mas cada núcleo tem acesso a pouca memória rápida. Uma KDF que precisa de 19 MiB de conjunto de trabalho por adivinhação limita um atacante a tantas adivinhações paralelas quantos blocos de 19 MiB de memória tiver — por isso o Argon2id com 19 MiB pode ser, na prática, mais forte do que o bcrypt com custo 15, apesar de demorar menos tempo no seu portátil. O PBKDF2 não tem resposta para isto: o seu único botão é o número de iterações, e o silício escala-o linearmente.

O formato modular-crypt / PHC é autodescritivo: em $argon2id$v=19$m=19456,t=2,p=1$ICEiIyQlJicoKSorLC0uLw$WTGpK4hf... os campos são o algoritmo, a versão, os parâmetros (m = memória em KiB, t = passagens, p = faixas), o sal em base64 e o hash em base64. O bcrypt é anterior à norma e usa a sua forma compacta própria: variante $2b$, depois 12 de custo, e depois o sal e o hash no alfabeto base64 próprio do bcrypt (./A-Za-z0-9). A verificação desta página aceita todos estes formatos e mostra os campos analisados — cole qualquer hash que encontre e veja em que se decompõe.

• Hash rápido para palavras-passe. As colunas de palavras-passe em MD5/SHA-1/SHA-256 caem perante GPUs comuns a milhares de milhões de adivinhações por segundo. Use o Gerador de Hash para ficheiros e dados; use os algoritmos desta página para palavras-passe.
• Partilhar um sal. Um só sal para todos os utilizadores significa que palavras-passe iguais têm hashes iguais e as tabelas arco-íris voltam a funcionar. Cada hash aqui recebe um sal aleatório novo de 16 bytes.
• Ignorar os 72 bytes do bcrypt. "a"*100 e "a"*72 produzem o mesmo hash — a cauda é descartada. Esta página avisa na caixa de entrada quando a palavra-passe excede 72 bytes. O Argon2 não tem esse limite.
• Comparar hashes com == no seu próprio código. A verificação tem de ser de tempo constante; o motor da página faz isso internamente (recalcula e compara os bytes guardados), mas se copiar a abordagem, use uma comparação de tempo constante.
• Ajustar parâmetros numa máquina de desenvolvimento rápida. Vise cerca de 250–500 ms de cálculo no hardware mediano dos seus utilizadores de produção, não na sua estação de trabalho. O botão Testar mostra o que este navegador de facto experimenta.
• Recalcular o hash em cada verificação de login. Verifique primeiro; só volte a calcular o hash (p. ex. para aumentar o custo) depois de uma verificação bem-sucedida, e guarde a nova cadeia. A função PHP password_needs_rehash() existe precisamente para isto.

Qual deve escolher? Argon2id com pelo menos os mínimos OWASP. Se o ambiente de execução não o oferecer: scrypt, depois bcrypt (com custo tal que o cálculo demore ≥250 ms). O PBKDF2 só quando a certificação o exigir.

Porque é que um sal aleatório aparece na cadeia de saída? O sal não é um segredo — é guardado às claras dentro da cadeia PHC de propósito, por isso a verificação precisa apenas da cadeia e da palavra-passe candidata. A sua função é a unicidade, não o segredo.

A variante importa ($2a$ / $2b$ / $2y$)? Para palavras-passe ASCII produzem hashes idênticos; $2a$ é o original dos anos 90, $2b$ corrigiu um erro raro de extensão de sinal (2014), $2y$ é a marca do PHP de que a correção está presente. A verificação aceita as três.

Quanto tempo deve demorar um hash? Cerca de 250–500 ms por login em hardware de servidor. Abaixo de 100 ms e a quebra offline é barata; acima de 1 s os utilizadores queixam-se antes de a segurança melhorar.

Posso verificar um hash produzido noutro lado? Sim — cole-o e indique a palavra-passe candidata. Formatos conhecidos: password_hash do PHP (bcrypt $2y$ e Argon2id), passlib do Python, o hasher argon2 do django e o formato de cadeia scrypt usado pela ferramenta scrypt do Tarsnap.

O que faz o botão "testar"? Calcula a palavra-passe atual uma vez com cada algoritmo, com os parâmetros predefinidos da página, e reporta o tempo de relógio neste navegador — uma ideia das diferenças de custo, não uma medição rigorosa.