Argon2-Passwort-Hash-Format-Explorer

Nein. Die angezeigten Hashes sind deterministische Simulationen zu Bildungszwecken. Verwende für echtes Passwort-Hashing das npm-Paket argon2 serverseitig oder argon2-browser clientseitig (WebAssembly).

Argon2id ist speicherintensiv, GPU-resistent und konfigurierbar, wodurch Brute-Force-Angriffe um Größenordnungen teurer werden. bcrypt ist auf 72-Byte-Passwörter beschränkt und verwendet ein Design aus dem Jahr 1999, dem die Speicherintensität fehlt.

Das PHC-String-Format (Password Hashing Competition) kodiert alle Hash-Parameter in einem einzigen portablen String: $algorithmus$version$parameter$salt$hash.

Ja, völlig kostenlos.

Absolut. Der Argon2-Passwort-Hash-Format-Explorer verarbeitet alles clientseitig in deinem Browser. Es werden keine Daten auf einen Server hochgeladen oder dort gespeichert. Deine Inhalte bleiben jederzeit privat auf deinem Gerät.

Ja, der Argon2-Passwort-Hash-Format-Explorer ist vollständig responsiv und funktioniert auf Smartphones und Tablets. Du kannst ihn auf jedem Gerät mit einem modernen Webbrowser nutzen, ohne eine App herunterladen zu müssen.

Es ist kein Konto und keine Registrierung erforderlich. Öffne einfach den Argon2-Passwort-Hash-Format-Explorer in deinem Browser und beginne sofort mit der Nutzung. Es gibt keine Anmeldeschranken oder Nutzungsbeschränkungen.

Gib einfach deine Daten in das vorgesehene Feld ein, passe die Einstellungen nach deinen Wünschen an und das Tool verarbeitet sie sofort. Anschließend kannst du das Ergebnis in die Zwischenablage kopieren oder herunterladen.

Der Argon2-Passwort-Hash-Format-Explorer funktioniert in allen modernen Browsern, einschließlich Chrome, Firefox, Safari, Edge und Opera. Für das beste Erlebnis verwende die neueste Version deines bevorzugten Browsers.

Die drei Argon2-Varianten unterscheiden sich nur darin, wie sie auf den Speicher zugreifen. Argon2d nutzt datenabhängigen Zugriff, was die stärkste Resistenz gegen GPU- und ASIC-Cracking bietet, dabei aber Timing-Informationen preisgibt und damit anfällig für Seitenkanalangriffe ist. Argon2i nutzt datenunabhängigen Zugriff, wehrt Seitenkanal-Timing-Angriffe ab, bietet aber schwächeren Schutz gegen dedizierte Cracking-Hardware. Argon2id ist eine Hybridvariante: Der erste Durchgang läuft im Argon2i-Modus, der Rest im Argon2d-Modus, sodass gegen beide Bedrohungen gleichzeitig ein sinnvoller Schutz besteht. Dieses Gleichgewicht ist der Grund, warum OWASP und RFC 9106 Argon2id als Standard für die Passwortspeicherung empfehlen, während Argon2d Fällen wie Kryptowährungen vorbehalten bleibt, in denen Seitenkanäle keine Rolle spielen. Wechsle im Explorer zwischen allen drei Varianten, um zu sehen, wie sich nur das Algorithmus-Label im PHC-String ändert.

In einem PHC-String taucht ein Segment wie m=65536,t=3,p=4 auf, und jeder Buchstabe steht für einen Einstellregler. Der Wert t sind die Zeitkosten, also die Anzahl der Durchgänge, die Argon2 über den Speicher macht; eine Erhöhung verlängert linear die Zeit, die jeder Rateversuch sowohl für Angreifer als auch für den Nutzer benötigt. Der Wert m ist die Speicherkosten in Kibibyte, sodass 65536 für 64 MB RAM pro Hash steht; genau das macht Argon2 speicherhart und lässt günstigen, parallelen Cracking-Rigs die Bandbreite ausgehen. Der Wert p ist die Parallelität, also die Anzahl unabhängiger Lanes, idealerweise passend zu den CPU-Threads deines Servers. Die von OWASP empfohlene Basiskonfiguration für interaktive Logins ist t=3, m=64MB, p=4, im Tool mit einem Stern markiert. Verändere im Explorer jedes Dropdown-Menü und beobachte, wie sich das Parameter-Segment des PHC-Strings live aktualisiert.

Beim Tuning von Argon2 geht es darum, so viele Ressourcen eines Angreifers wie möglich zu binden, ohne echte Logins auf ein Kriechtempo zu verlangsamen. Eine praktische Regel: Setze zuerst die Speicherkosten so hoch wie es deine Hardware erlaubt, da die Speicherhärte Argon2s wichtigste Verteidigungslinie ist; 64 MB gelten als empfohlene Untergrenze für interaktive Logins, auf einem gut ausgestatteten Server sind 128 oder 256 MB durchaus vernünftig. Setze die Parallelität ungefähr passend zu den verfügbaren CPU-Threads. Erhöhe anschließend die Zeitkosten, bis ein einzelner Hash auf deiner Produktionsmaschine etwa eine halbe Sekunde dauert — das hält Brute-Force-Angriffe teuer, während die Anwendung reaktionsschnell bleibt. Da jeder Parameter im PHC-String eingebettet ist, kannst du diese Werte später erhöhen und Passwörter beim nächsten Login neu hashen, ganz ohne Datenbankmigration. Nutze den Explorer, um verschiedene Parameterkombinationen und den exakten daraus resultierenden String vorab zu prüfen, bevor du dich für eine Konfiguration entscheidest.

Das Segment v=19 ist die Algorithmusversion von Argon2, kein Parameter, den man einstellt. Es steht für Argon2-Version 1.3, deren hexadezimale Kennung 0x13 dezimal 19 entspricht. Version 1.3 behob eine Schwachstelle des ursprünglichen 1.0-Designs und ist seither der Standard, weshalb praktisch jede moderne Bibliothek v=19 ausgibt. Dass die Version im Hash mitgespeichert wird, ist wichtig, weil eine Verifizierungsstelle so genau weiß, welche Algorithmus-Revision ein gespeichertes Passwort erzeugt hat, sodass ältere Hashes auch nach Bibliotheks-Updates noch korrekt geprüft werden können. Falls dir ein Hash ohne Versionsfeld begegnet, stammt er aus der Zeit vor dieser Konvention und wurde vermutlich mit Version 1.0 erzeugt. Der Explorer gibt in seiner Aufschlüsselung immer v=19 aus, damit sichtbar wird, wo die Version zwischen Algorithmusname und Kostenparametern steht.

Ein Salt ist ein einzigartiger Zufallswert, der vor dem Hashing in jedes Passwort eingemischt wird, und er erscheint als vorletztes base64-kodiertes Segment des PHC-Strings. Seine Aufgabe ist es, sicherzustellen, dass zwei Nutzer mit demselben Passwort völlig unterschiedliche Hashes erhalten, was vorberechnete Rainbow Tables wirkungslos macht und verhindert, dass ein Angreifer viele Konten auf einmal knackt. Da das Salt nur einzigartig, nicht geheim sein muss, wird es offen sichtbar direkt im Hash-String gespeichert statt in einer separaten Spalte. Beim Login liest die Verifizierungsstelle das Salt aus dem gespeicherten String aus, führt Argon2 damit und den eingebetteten Kostenparametern erneut aus und vergleicht das Ergebnis. Dieses in sich geschlossene Design bedeutet, dass ein einziges Datenbankfeld alles enthält, was zur Überprüfung eines Logins nötig ist. Erzeuge im Explorer einen String, um das Salt als eigenen, farblich hervorgehobenen Bestandteil zu sehen.