Bcrypt ist eine Passwort-Hash-Funktion, die absichtlich langsam und rechenintensiv ist, was sie resistent gegen Brute-Force-Angriffe macht. Es ist der Industriestandard für sichere Passwortspeicherung.
Wie Bcrypt funktioniert
Bcrypt verwendet die Blowfish-Verschlüsselung mit einem Salt und Kostenfaktor. Der Kostenfaktor (Runden) bestimmt, wie viele Iterationen der Algorithmus durchführt - jede Erhöhung verdoppelt die Rechenzeit und macht Angriffe exponentiell schwerer.
Warum Bcrypt verwenden?
Im Gegensatz zu MD5/SHA, die schnell sind (schlecht für Passwörter), ist bcrypt absichtlich langsam. Dies macht Brute-Force-Angriffe unpraktisch. Kosten von 10 bedeuten 2^10 (1.024) Iterationen, was ~100ms zum Hashen benötigt - vernachlässigbar für Login, aber verheerend für Angreifer, die Milliarden von Passwörtern testen.
Sicherheits-Best-Practices
Verwenden Sie Kosten von 10-12 für die meisten Anwendungen. Kosten 10 ist das aktuell empfohlene Minimum. Verwenden Sie niemals MD5 oder SHA-1 für Passwörter - sie sind gebrochen. Speichern Sie niemals Klartext-Passwörter. Verwenden Sie immer bcrypt, Argon2 oder scrypt für Passwort-Hashing.