Что такое bcrypt?

Bcrypt — это функция хеширования паролей, разработанная в 1999 году, которая предназначена для защиты паролей от взлома методом подбора. Она намеренно замедляет процесс хеширования, чтобы усложнить атаки.

В чём заключается проблема bcrypt с длинными паролями?

Проблема в том, что bcrypt фактически обрабатывает только первые 72 символа пароля. Если пароль длиннее, остальные символы игнорируются или могут непредсказуемо влиять на результат хеширования, что может привести к ложному принятию неверных паролей.

Как это влияет на безопасность пользователей?

Пользователи, создающие очень длинные пароли в системах, использующих bcrypt, могут ложно полагать, что их пароли надёжнее из-за каждого дополнительного символа, хотя на самом деле это не так, и даже может возникнуть риск некорректной валидации.

Как можно решить эту проблему?

Администраторам систем стоит ограничить максимальную длину пароля до 72 символов при вводе или использовать более современные алгоритмы хеширования, которые могут эффективно обрабатывать пароли любой длины.

Технологии3 сентября 2026 · 1 мин 0

Уязвимость алгоритма bcrypt: длинные пароли могут искажать процесс хеширования

В алгоритме хеширования паролей bcrypt существует особенность, из-за которой длина пароля свыше 72 символов не влияет на его криптографическую стойкость, а оставшиеся символы могут искажать процесс хеширования, что выявил один из разработчиков.

Кратко

Алгоритм хеширования bcrypt игнорирует символы пароля, если его длина превышает 72 символа, и оставшаяся часть может искажать процесс хеширования.
Эта особенность bcrypt не является новой уязвимостью, а заложена в его спецификацию 1999 года.
Разработчикам рекомендуется ограничивать длину паролей на клиентской стороне или использовать альтернативные алгоритмы хеширования.
Использование сверхдлинных паролей с bcrypt создаёт ложное чувство безопасности у пользователей, так как только первые 72 символа влияют на криптографическую стойкость.

Один из разработчиков при миграции пользовательских данных между системами обнаружил, что очень длинные пароли, которые, по идее, должны были быть отвергнуты, успешно проходили проверку. В результате анализа выяснилось, что использованный алгоритм bcrypt обрезает пароли, превышающие 72 символа. Все символы после 72-го игнорируются, при этом иногда могут влиять на процесс хеширования непредсказуемым образом, допуская совпадение с неверными паролями.

Уязвимость алгоритма bcrypt: длинные пароли могут искажать процесс хеширования

Комментарии (0)

Ещё новости

ИИ помогает ординаторам-радиологам закрывать пробелы в обучении

Nvidia инвестирует $13 млрд в Hugging Face, сохраняя открытую модель платформы

В Цзянмыне стартовала программа обучения для молодых ученых «Линьхан»

Часто задаваемые вопросы