BCrypt Là Gì? Hướng Dẫn Sử Dụng BCrypt Với Java và Thư Viện JBCrypt

BCrypt là một thuật toán băm mật khẩu mạnh mẽ, được phát triển bởi Niels Provos và David Mazières. Thuật toán này được thiết kế để chống lại các cuộc tấn công vét cạn (brute-force) và tấn công rainbow table, giúp bảo vệ mật khẩu người dùng một cách hiệu quả.

(Xem thêm: MD5 là gì? Code ví dụ MD5 với Java)

(Xem thêm: SHA là gì? Code ví dụ SHA1, SHA2 với Java)

Tại Sao Nên Sử Dụng BCrypt?

BCrypt được đánh giá cao hơn so với các thuật toán băm mật khẩu cũ như MD5 và SHA vì một số lý do sau:

• Tạo ra các giá trị băm khác nhau cho cùng một mật khẩu: BCrypt sử dụng một “salt” ngẫu nhiên trong quá trình băm, nghĩa là mỗi lần băm cùng một mật khẩu sẽ tạo ra một giá trị băm khác nhau. Điều này làm cho các cuộc tấn công rainbow table trở nên vô hiệu.
• Khả năng điều chỉnh độ phức tạp: BCrypt cho phép bạn điều chỉnh độ phức tạp của thuật toán băm thông qua tham số “cost factor”. Cost factor càng cao, thời gian băm càng lâu, khiến cho các cuộc tấn công vét cạn trở nên khó khăn hơn.
• Tính bảo mật cao: BCrypt được thiết kế đặc biệt để bảo vệ mật khẩu, đã được kiểm chứng qua thời gian và được coi là một trong những thuật toán băm mật khẩu an toàn nhất hiện nay.

Hướng Dẫn Sử Dụng BCrypt với Java và Thư Viện JBCrypt

Trong hướng dẫn này, chúng ta sẽ sử dụng thư viện JBCrypt để thực hiện băm và so sánh các giá trị băm trong Java. JBCrypt là một thư viện mã nguồn mở phổ biến, dễ sử dụng và được cộng đồng hỗ trợ rộng rãi.

1. Thêm Thư Viện JBCrypt vào Dự Án

Bạn có thể tải xuống thư viện JBCrypt trực tiếp từ trang chủ hoặc sử dụng Maven để thêm nó vào dự án của bạn:

<dependency>
    <groupId>org.mindrot</groupId>
    <artifactId>jbcrypt</artifactId>
    <version>0.4</version>
</dependency>

2. Ví Dụ Mã Hóa Mật Khẩu với BCrypt

Đoạn code dưới đây minh họa cách băm một mật khẩu bằng BCrypt:

String password = "matkhau123";
String hash = BCrypt.hashpw(password, BCrypt.gensalt(12));
System.out.println("BCrypt hash: " + hash);

Trong đó:

• password: Mật khẩu bạn muốn băm.
• BCrypt.gensalt(12): Tạo một salt ngẫu nhiên với cost factor là 12. Cost factor có thể dao động từ 4 đến 31. Giá trị càng cao, thời gian băm càng lâu.
• BCrypt.hashpw(password, salt): Băm mật khẩu bằng BCrypt sử dụng salt đã tạo.

Mỗi lần bạn chạy đoạn code trên, bạn sẽ nhận được một giá trị băm khác nhau, ngay cả khi mật khẩu giống nhau.

Ví dụ kết quả:

BCrypt hash: $2a$12$7oh8QTspcMvrD8zBjWW4NePLXm2Xf.ffFfXqj5CbLIf.elGx9A9Ce

Chạy lại một lần nữa sẽ cho một chuỗi khác:

BCrypt hash: $2a$12$Pmn0xKt4ZDtYAA6HypdWhuniNequ8ou2x7kG.9n.2Thw.Mza1RR.C

Ví dụ kết quả BCrypt Hash

3. Ví Dụ Xác Thực Mật Khẩu với BCrypt

Để xác thực mật khẩu, bạn cần so sánh mật khẩu người dùng nhập vào với giá trị băm đã lưu trữ trong cơ sở dữ liệu. BCrypt cung cấp phương thức checkpw để thực hiện việc này:

String password = "matkhau123";
String hashedPassword = "$2a$12$7oh8QTspcMvrD8zBjWW4NePLXm2Xf.ffFfXqj5CbLIf.elGx9A9Ce";
boolean check = BCrypt.checkpw(password, hashedPassword);
System.out.println(check);

Trong đó:

• password: Mật khẩu người dùng nhập vào.
• hashedPassword: Giá trị băm đã lưu trữ trong cơ sở dữ liệu.
• BCrypt.checkpw(password, hashedPassword): So sánh mật khẩu với giá trị băm. Phương thức này trả về true nếu mật khẩu khớp với giá trị băm, và false nếu không khớp.

Kết quả:

true

4. Demo Ứng Dụng Mã Hóa và Xác Thực Mật Khẩu

Dưới đây là một ví dụ demo đơn giản về ứng dụng mã hóa và xác thực mật khẩu sử dụng BCrypt trong Java Swing:

(Code Java Swing đã được lược bỏ để đảm bảo độ dài bài viết, tuy nhiên vẫn giữ nguyên các thành phần và chức năng chính)

Ứng dụng này cho phép bạn nhập mật khẩu, chọn cost factor, tạo giá trị băm BCrypt và sau đó xác thực mật khẩu đã nhập với giá trị băm đã tạo.

Ví dụ kết quả BCrypt Hash

Ứng dụng bao gồm hai phần chính:

• BCrypt Calculator: Cho phép bạn nhập mật khẩu và chọn số vòng (cost factor) để tạo ra mã băm BCrypt tương ứng.
  • Enter password to Hash: Nhập mật khẩu cần mã hóa.
  • Maximum number of rounds which is tolerable: Chọn số vòng băm (cost factor).
  • Calculate: Nút để thực hiện mã hóa.
  • Kết quả mã băm sẽ hiển thị ở ô bên dưới.
• BCrypt Tester: Cho phép bạn kiểm tra mật khẩu đã nhập với mã băm BCrypt xem có trùng khớp hay không.
  • Password to evaluate: Nhập mật khẩu cần kiểm tra.
  • BCrypt hash to evaluate: Nhập mã băm BCrypt để so sánh.
  • Calculate: Nút để thực hiện kiểm tra.
  • Kết quả kiểm tra sẽ hiển thị ở ô bên dưới.

Kết Luận

BCrypt là một thuật toán băm mật khẩu mạnh mẽ và an toàn, rất phù hợp để bảo vệ thông tin đăng nhập của người dùng. Với thư viện JBCrypt, việc tích hợp BCrypt vào các ứng dụng Java trở nên dễ dàng hơn bao giờ hết. Hãy sử dụng BCrypt để đảm bảo an ninh cho hệ thống của bạn!

(Download code ví dụ đầy đủ tại đây – liên kết sẽ được cập nhật)

Tài liệu tham khảo:

• BCrypt
• JBCrypt
• OWASP Password Storage Cheat Sheet