Tạo mã băm MD5, SHA và bcrypt online

Không. Cả sáu hàm băm lẫn bcrypt đều chạy bằng JavaScript ngay trong trình duyệt bạn. Ngắt mạng rồi thử lại vẫn ra kết quả. Đây là lý do bạn có thể dán mật khẩu thật vào mà không phải lo.

Chỉ để kiểm tra file có đúng bản gốc hay không, hoặc để làm việc với hệ thống cũ. Cả hai đã bị phá: người ta tạo được hai file khác nhau cho ra cùng một mã. Đừng dùng chúng cho chữ ký số hay cho mật khẩu.

Vì SHA-256 quá nhanh. Máy tính bây giờ thử được hàng tỉ chuỗi mỗi giây, nên một bảng mật khẩu bị lộ sẽ bị dò ra gần hết. bcrypt cố tình chạy chậm và có tham số điều chỉnh độ chậm, nên kẻ dò phải mất hàng năm thay vì vài giờ.

Vì bcrypt tự sinh một chuỗi muối ngẫu nhiên và nhét nó vào kết quả. Cùng một mật khẩu ở hai tài khoản sẽ cho hai mã khác nhau, nên kẻ trộm được cơ sở dữ liệu không thể nhìn ra ai đang dùng chung mật khẩu. Muốn kiểm tra thì dùng phần đối chiếu, đừng so hai chuỗi bằng mắt.

Mức 10 tới 12 là khoảng thường dùng. Mỗi lần tăng một bậc là thời gian băm nhân đôi — cho cả bạn lẫn kẻ dò. Đặt cao quá thì máy chủ của bạn nghẽn mỗi lần có người đăng nhập.