Argon2 Online-Hash-Generator

Argon2 Online-Hash-Generator

Argon2 ist der Gewinner des Password Hashing Competition und eine der bevorzugten Optionen für die Passwortspeicherung in neuen Projekten. Neben Rechenzeit benötigt der Algorithmus eine festgelegte Menge Arbeitsspeicher, wodurch sich Angriffe mit GPUs und spezialisierter Hardware schwerer durch massive Parallelisierung beschleunigen lassen. Das Tool bietet drei Tabs: Hash erzeugen, Passwort prüfen und Hash analysieren.

Algorithmusvarianten und Voreinstellungen

• Varianten: Argon2id wird für die Passwortspeicherung empfohlen, Argon2i eignet sich für spezielle Szenarien mit Anforderungen an den Schutz vor Seitenkanalangriffen und Argon2d wird für die allgemeine Passwortspeicherung nicht empfohlen.
• Voreinstellungen: Empfohlen mit 64MB, 3 Iterationen und Parallelität 2; hohe Sicherheit mit 128MB, 3 Iterationen und Parallelität 4; geringe Ressourcen mit 32MB, 2 Iterationen und Parallelität 1. Alternativ können alle Werte individuell angepasst werden.
• Bedeutung der Parameter: Der Speicher gibt den Arbeitsspeicher für einen einzelnen Hash an, die Iterationszahl die Anzahl der Berechnungsrunden. Die Parallelität sollte die verfügbaren CPU-Threads des Servers nicht überschreiten.

Die Voreinstellungen sind nur übliche Ausgangspunkte. Die endgültigen Parameter sollten anhand von CPU, Arbeitsspeicher und gleichzeitigen Anmeldevorgängen auf dem Zielserver ermittelt werden.

Hash erzeugen

Passwort eingeben, Parameter bestätigen und einen Hash im standardmäßigen PHC-Format erzeugen. Der Hash enthält Algorithmusname, Version, m/t/p-Parameter, Salt und Hash-Körper und kann direkt in einer Datenbank gespeichert werden. Das Passwortfeld kann ein- und ausgeblendet werden. Außerdem kann ein zufälliges Passwort erzeugt werden, das ausschließlich zum Testen der Parameter dient.

Prüfen und analysieren

Der Prüfmodus nimmt einen vorhandenen Argon2-Hash und das zu prüfende Passwort entgegen, liest die im Hash gespeicherten Parameter aus, berechnet den Hash erneut und vergleicht die Ergebnisse. Es wird angezeigt, ob das Passwort übereinstimmt, ohne einen neuen Hash zu erzeugen. Der Analysemodus liest aus dem PHC-String Algorithmus, Version, Speicherbedarf, Iterationen, Parallelität, Salt und Hash-Körper aus und erleichtert damit die Kontrolle, ob die Konfiguration in der Produktion mit der Dokumentation übereinstimmt.

Performance-Benchmark

Der Benchmark berechnet mit den aktuellen Parametern mehrfach und zeigt durchschnittliche, minimale und maximale Dauer sowie Empfehlungen zur Optimierung. So lässt sich ein sinnvoller Ausgleich zwischen Sicherheit und Antwortzeit bei der Anmeldung finden. Die Ergebnisse beziehen sich nur auf das aktuelle Gerät und den aktuellen Browser; der Server muss separat getestet werden.

Parameterprüfung und Fehlerbehandlung

• Der Speicher muss zwischen 1MB und 1024MB liegen, die Iterationszahl zwischen 1 und 100 und die Parallelität zwischen 1 und 16. Werte außerhalb dieser Bereiche werden direkt gemeldet.
• Bei mehr als 256MB Speicher weist die Seite darauf hin, dass der Browser wegen Speichermangels möglicherweise fehlschlägt. Solche Parameter sollten direkt auf dem Server getestet werden.
• Ungültige Hash-Formate sowie PHC-Strings ohne Salt oder Hash-Abschnitt werden mit einer konkreten Ursache gemeldet.
• Bei einem Berechnungsfehler wird empfohlen, Speicher oder Iterationszahl zu reduzieren und erneut zu versuchen. Unterstützt der Browser WebAssembly nicht, wird dies direkt angezeigt und das Passwort niemals an den Server gesendet.

Einsatzbereiche

• Auswahl eines Passwort-Hash-Algorithmus und geeigneter Parameter für neue Projekte.
• Bewertung der Parameter vor einer Migration von MD5, SHA oder bcrypt zu Argon2.
• Kontrolle der tatsächlich verwendeten Parameterstärke vorhandener PHC-Hashes in der Produktion.
• Demonstration der Eigenschaften speicherintensiver Passwort-Hashes in Schulung und Unterricht.

Datenschutz und Datensicherheit

Passwort-Hashes sind nicht umkehrbar. Das Tool führt ausschließlich Berechnungen, Prüfungen und Parameteranalysen durch und bietet keine Entschlüsselung. Alle Berechnungen erfolgen lokal per WebAssembly im Browser. Passwörter und Hashes werden weder an den Server übertragen noch gespeichert. Wenn die lokale Engine nicht verfügbar ist, wird direkt ein Fehler angezeigt; es gibt keine serverseitige Ausweichberechnung.