bcrypt 해시 생성·검증

비밀번호를 적으면 고른 비용으로 해시가 나옵니다. 관리자 계정 하나를 손으로 심을 때, 또는 설정 파일에 든 해시가 내가 아는 그 해시가 맞는지 확인할 때 씁니다.

같은 비밀번호라도 해시는 매번 다릅니다. 만들 때마다 새 소금이 들어가기 때문입니다. 그것이 소금을 쓰는 이유입니다. 같은 비밀번호를 쓰는 두 사람이 같은 값으로 저장되면, 하나가 뚫릴 때 둘이 함께 뚫립니다.

비용은 하나 올릴 때마다 일이 두 배가 됩니다. 10 이 흔히 쓰는 기본값으로 대략 0.1초, 12 는 그 네 배쯤 걸립니다. 높일수록 털어 보는 공격에는 강해지고 정상적인 로그인은 전부 느려지는데, 실제로 재고 있는 것이 이 둘입니다.

bcrypt 는 앞 72바이트만 읽고 나머지를 조용히 버립니다. 긴 문장을 쓰면 앞부분이 같은 다른 비밀번호와 같은 해시가 나올 수 있어서, 그 선을 넘으면 알려 줍니다. 한글처럼 여러 바이트를 쓰는 글은 24글자쯤에서 넘어갑니다.

검증 칸은 여기서 만든 것이 아니어도 받습니다. 어디서 온 해시든 판 표시와 비용과 소금을 읽어 줍니다. $2y$ 면 대개 PHP 쪽이고 $2a$ 면 옛 라이브러리입니다.

아무것도 보내지 않습니다. 비밀번호를 받아 서버로 넘기는 도구라면 없느니만 못하므로, 전부 브라우저 안에서 돌립니다.