bcrypt — Hachage de mots de passe

Pourquoi bcrypt

bcrypt est une fonction de dérivation lente, conçue pour le stockage de mots de passe. Son facteur de coût (cost factor) configurable rend le brute force coûteux, et le sel est intégré au hash.

Format

$2b$12$R9h/cIPz0gi.URNNX3kh2OPST9/PgBkqquzi.Ss7KIUgO2t0jWMUW
 └┬┘└┬┘ └───────────── sel + hash ──────────────┘
  │  └ cost = 2^12 itérations
  └ variante (2a/2b/2y)

# Crack (lent par design)
hashcat -m 3200 hash.txt rockyou.txt

Bonnes pratiques

Cost ≥ 12 (ajuster au matériel), limite de 72 octets en entrée (pré-hacher si plus long), et migration vers Argon2id pour les nouveaux projets. Le sel intégré évite les rainbow tables.