bcrypt ハッシュ生成 — bcrypt でパスワードをハッシュ化・検証

はい。「パスワードのリスト（一括）」に切り替え、1 行に 1 つずつ最大 50 件のパスワードを貼り付けて（スペースも文字として扱われ、空行はスキップされます）「ハッシュ化」を押します。選んだコストで、それぞれ独自のランダムなソルトを使って 1 つずつ順にハッシュ化され、処理中もページは固まりません。ハッシュはリストと同じ順番でコピーでき、平文のパスワードを含めるかどうかを選んで CSV でダウンロードすることもできます。上限があるのは bcrypt が意図的に遅いためで、コスト 12 で 50 件のハッシュ化でもそれなりに時間がかかります。

本番サーバーで 1 回のハッシュ化が許容できる遅延（通常は 100 ミリ秒〜1 秒）に収まる、最も高いコストを選んでください。現在のサーバーハードウェアでは、たいてい 10〜12 です。OWASP の Password Storage Cheat Sheet では、ワークファクターの最小値を 10 としています。ノートパソコンではなく実際のサーバーで計測し、コストが高いとログインのエンドポイントがリクエストで過負荷になりやすくなる点も忘れないでください。

各ハッシュには新しいランダムな 128 ビットのソルトが含まれ、ハッシュ自体に格納されています（コストの後の 22 文字）。これは意図的なもので、同じパスワードを使う 2 人のユーザーでもハッシュは異なり、事前計算したテーブルは役に立ちません。パスワードを確認するとき、bcrypt は保存されたハッシュからソルトとコストを読み取り、それを使って入力されたパスワードをハッシュ化し直して比較します。

いいえ。bcrypt は一方向ハッシュであり、暗号化ではありません。bcrypt ハッシュからパスワードを取り出す唯一の方法は、候補を推測して 1 つずつハッシュ化することで、コスト係数によって推測のたびに大きな手間がかかります。それこそが目的です。弱いパスワードは推測される可能性がありますが、1 回の試行にナノ秒ではなく実際の CPU 時間がかかります。

アルゴリズムの実装の改訂を示しています。$2a$ は長く使われてきたバージョンです。$2b$ は 255 バイトを超えるパスワードの扱いを修正するために 2014 年に OpenBSD が導入しました。$2y$ は、2011 年に符号拡張のバグを修正した後に PHP が生成したハッシュを示すマーカーです。現在のライブラリで作成したハッシュであれば照合の方法は同じで、ほとんどのライブラリは 3 つすべてを受け付けます。

はい。bcrypt はパスワードの最初の 72 バイトだけを使い、残りは無視します。数えるのは UTF-8 のバイト数なので、アクセント付きの文字や絵文字を含むパスワードは、少ない文字数で上限に達します。このツールは 72 バイトを超えると警告します。より長いパスフレーズを受け付ける必要があるなら、長さを制限するか、このような制限のない Argon2id を使ってください。

新しいシステムには、OWASP はまず Argon2id を推奨しています。メモリハードなので、GPU による攻撃のコストが高くなるためです。bcrypt もどこでもサポートされている堅実な選択肢であり、すでにコスト 10 以上で bcrypt を使っているシステムを急いで変える必要はありません。何より重要なのは、ただの SHA-256 や MD5 ではなく、こうした低速でソルト付きのアルゴリズムのどれかを使っていることです。