编程语言
首页 > 编程语言> > BCrypt算法加密解密

BCrypt算法加密解密

作者:互联网

BCrypt的密码加密

介绍

BCrypt算法是目前使用比较广泛的加密解密算法,SpringSecurity中提供了BCryptPasswordEncoder类。

优点

自己写的加密算法或者MD5,同一个密码生成的Hash值事一样的,而BCrypt算法每次加密生成的Hash值是不同的。

必须明确一点:
Bcrypt是单向Hash加密算法,类似Pbkdf2算法 不可反向破解生成明文。

使用说明

一、Bcrypt有四个变量:

  1. saltRounds: 正数,代表hash杂凑次数,数值越高越安全,默认10次。
  2. myPassword: 明文密码字符串。
  3. salt: 盐,一个128bits随机字符串,22字符
  4. myHash: 经过明文密码password和盐salt进行hash,个人的理解是默认10次下 ,循环加盐hash10次,得到myHash

每次明文字符串myPassword过来,就通过10次循环加盐salt加密后得到myHash, 然后拼接BCrypt版本号+salt盐+myHash等到最终的bcrypt密码 ,存入数据库中。
这样同一个密码,每次登录都可以根据自省业务需要生成不同的myHash, myHash中包含了版本和salt,存入数据库。

二、bcrypt密码图解:
在这里插入图片描述
如Spring Security crypt项目中实现的BCrypt方法加密:BCrypt.hashpw(myPassword, BCrypt.gensalt())

那即使黑客得到了bcrypt密码,他也无法转换明文,因为之前说了bcrypt是单向hash算法;

三、那如果黑客使用彩虹表进行hash碰撞呢?

有文章指出bcrypt一个密码出来的时间比较长,需要0.3秒,而MD5只需要一微秒(百万分之一秒),一个40秒可以穷举得到明文的MD5,在bcrypt需要12年,时间成本太高,这我就没仔细研究,详细可看陈皓的

四、那他是如何验证密码的?

在下次校验时,从myHash中取出salt,salt跟password进行hash;得到的结果跟保存在DB中的hash进行比对。
如Spring Security crypto 项目中实现的BCrypt 密码验证BCrypt.checkpw(candidatePassword, dbPassword)

未完。

标签:加密,BCrypt,bcrypt,myHash,解密,密码,hash,salt
来源: https://blog.csdn.net/Romona_J/article/details/113815161