مولد bcrypt
أنشئ بصمات كلمات المرور وتحقق منها بأمان

ماذا يفعل مولد bcrypt هذا

يحوّل مولد bcrypt هذا كلمة المرور إلى بصمة bcrypt، وهي الصيغة التي تحفظ بها معظم المواقع كلمات المرور. أولًا اختر التكلفة، ثم اكتب كلمة المرور، فتظهر البصمة خلال لحظة جاهزة للصق في قاعدة بيانات أو ملف إعدادات.

كما يعمل فاحصًا لـbcrypt. الصق بصمة من PHP أو Node أو Python أو Laravel أو Django، واكتب كلمة مرور، فتعرف فورًا إن كانتا متطابقتين. وتحت ذلك يشرح جدول كل جزء من البصمة.

يجري كل العمل في متصفحك. لذلك لا تنتقل كلمة المرور إلى خادمنا أبدًا، وهذا أهم في أداة كهذه من أي أداة أخرى تقريبًا.

كيف يعمل bcrypt

صُمم bcrypt عام 1999 ليكون بطيئًا عمدًا. أولًا يضيف ملحًا عشوائيًا، لذلك يحصل شخصان لهما كلمة المرور نفسها على بصمتين مختلفتين. ثم يكرر إعداد مفتاح مكلفًا مرات كثيرة، وتحدد التكلفة عددها.

والنتيجة نص من 60 حرفًا يحمل كل ما يلزم للتحقق لاحقًا: الإصدار والتكلفة والملح والبصمة نفسها. لذلك تحتاج قاعدة بياناتك إلى عمود واحد فقط، ولا يلزم تخزين شيء آخر.

من أين جاء bcrypt

قدّم نيلز بروفوس وديفيد مازيير bcrypt عام 1999، واعتمده نظام OpenBSD لكلمات مروره. وكانت فكرتهما بسيطة: كلما أصبحت الحواسيب أسرع ارفع التكلفة، وبهذا تواكب البصمة العتاد. وفي الواقع ما زالت الفكرة صالحة بعد أكثر من عشرين عامًا.

إنشاء بصمة كلمة مرور

اكتب كلمة المرور في المربع الأول واضغط أنشئ البصمة. يُظهر شريط التقدم، لأن التكاليف العالية تحتاج وقتًا حقيقيًا. ثم ترى البصمة والوقت الذي استغرقته في متصفحك وتفصيل أجزائها.

كل ضغطة تصنع ملحًا عشوائيًا جديدًا. وبالتالي تعطي كلمة المرور نفسها بصمتين مختلفتين، ومع ذلك تصح الاثنتان. هذا طبيعي، وهو في الواقع ما يحمي مستخدميك.

تحقق من كلمة مرور مقابل بصمة

لاختبار تسجيل دخول، الصق البصمة المحفوظة واكتب كلمة المرور التي تريد تجربتها. يقرأ الفاحص التكلفة والملح من البصمة، ويكرر العمل نفسه، ويقارن النتائج. ثم تخبرك رسالة خضراء أو حمراء إن كانتا متطابقتين.

يفيد هذا حين يفشل تسجيل الدخول وتحتاج إلى معرفة السبب. فمثلًا يمكنك التأكد من نجاح إعادة التعيين، أو من أن بصمة مستوردة من نظام آخر ما زالت تقبل كلمة المرور الصحيحة.

اختيار تكلفة bcrypt المناسبة

التكلفة قوة للعدد اثنين. فالتكلفة 10 تعني 1,024 جولة، والتكلفة 11 تعني 2,048، لذلك تضاعف كل خطوة الوقت. والهدف بصمة تستغرق ربع ثانية تقريبًا على خادمك، وهذا مقبول لتسجيل دخول واحد لكنه مؤلم لمهاجم يجرب المليارات.

تستخدم معظم أطر العمل اليوم 10 أو 12، وقد رفعت PHP 8.4 قيمتها الافتراضية إلى 12. والوقت الظاهر هنا يأتي من متصفحك، لذلك اعتبره دليلًا تقريبيًا. فقد يكون خادمك أسرع أو أبطأ، لذا قِس هناك قبل أن تقرر.

حد 72 بايت

يتجاهل bcrypt كل ما يتجاوز أول 72 بايت من كلمة المرور. وهذا لا يهم في كلمات المرور العادية. لكن العبارات الطويلة بلغات مثل العربية أو الصينية تستخدم بايتين أو ثلاثة لكل حرف، لذلك تبلغ الحد أسرع. وينبهك جدول الفحوص عند تجاوزه.

دلالة البادئات $2a$ و$2b$ و$2y$

تحدد البادئة إصدار bcrypt. فـ$2b$ هو الإصدار الحالي من OpenBSD، و$2y$ هو ما تكتبه PHP للخوارزمية نفسها. أما $2a$ فهو الاسم الأقدم، وما زال مناسبًا لأي كلمة مرور عادية.

عمليًا تتحقق الثلاثة بعضها من بعض هنا بشكل صحيح. لكن إن رأيت $2x$ فالبصمة جاءت من نسخة PHP قديمة معيبة، لذلك أعد إنشاءها عند تسجيل الدخول التالي.

bcrypt أم Argon2 أم SHA-256؟

لا تحفظ كلمات المرور أبدًا ببصمة سريعة مثل MD5 أو SHA-256، لأن بطاقة رسوميات واحدة تختبر المليارات منها كل ثانية. أما bcrypt وscrypt وArgon2 فمصممة لتكون بطيئة وتقاوم هذا العتاد.

تضع ورقة OWASP لتخزين كلمات المرور Argon2id أولًا، وتعد bcrypt خيارًا متينًا حين لا يتوفر Argon2. ولأن bcrypt مدمج في PHP وLaravel وDjango وRails وSpring، فهو غالبًا أسهل خيار آمن.

ماذا يحدث عند تسريب قاعدة بيانات

تخيّل أن مهاجمًا نسخ جدول المستخدمين. مع MD5 أو SHA-1 تسقط معظم كلمات المرور الضعيفة في دقائق، لأن هذه البصمات سريعة. أما مع bcrypt بتكلفة 12 فيستغرق كل تخمين جزءًا حقيقيًا من الثانية، لذلك يستغرق الهجوم نفسه سنوات.

والملح مهم هنا أيضًا. فلأن لكل بصمة ملحها الخاص، يجب على المهاجم مهاجمة كل مستخدم على حدة. لذلك تصبح الجداول المحسوبة مسبقًا لكلمات المرور الشائعة، أي جداول قوس قزح، بلا فائدة.

الانتقال من MD5 إلى bcrypt

لا تحتاج إلى أن يعيد كل مستخدم تعيين كلمة مروره. بدلًا من ذلك، عند كل تسجيل دخول ناجح تحقق من البصمة القديمة، ثم احفظ بصمة bcrypt جديدة لكلمة المرور التي كتبها. وخلال أشهر قليلة تنتقل معظم الحسابات النشطة وحدها.

أما الحسابات التي لا تسجل الدخول مجددًا، فيمكنك تغليف بصمتها القديمة داخل bcrypt ثم فكها عند دخولها التالي. وعلى أي حال احذف العمود القديم بعد انتهاء الانتقال.

استخدام bcrypt في شفرتك

في PHP استدعِ password_hash مع PASSWORD_BCRYPT وتحقق بـpassword_verify، كما يوضح دليل PHP الخاص بـpassword_hash. وفي Node تقوم الحزمتان bcrypt وbcryptjs بالشيء نفسه، كما توجد في Python حزمة bcrypt.

مهما كانت اللغة، لا تقارن البصمات كنص عادي أبدًا، ولا تبنِ البصمة بنفسك من أجزاء. بدلًا من ذلك استخدم دالة التحقق في المكتبة، فهي تعالج أيضًا البادئات والتكاليف القديمة.

هل هذه الأداة آمنة؟

نعم. تعمل خوارزمية bcrypt كلها داخل هذه الصفحة، ويأتي الملح من مصدر العشوائية الآمن في متصفحك. ولا تُرسل أي كلمة مرور أو بصمة، لذلك تعمل الصفحة حتى دون اتصال بعد تحميلها.

ومع ذلك تعامل مع كلمات المرور الحقيقية بحذر. استخدم هذه الصفحة للتجربة والتعلم وإعداد الحسابات، لكن دع تطبيقك ينشئ البصمات للمستخدمين الحقيقيين. ولكلمات المرور الجديدة يصنع مولد كلمات المرور كلمات قوية، كما يروي مقال ويكيبيديا عن bcrypt تاريخه بالتفصيل.