bcrypt-ruby - это привязка Ruby для алгоритма хеширования паролей OpenBSD bcrypt(). До версии 3.1.2, переполнение чисел в реализации Java B…

bcrypt-ruby - это привязка Ruby для алгоритма хеширования паролей OpenBSD bcrypt(). До версии 3.1.2, переполнение чисел в реализации Java BCrypt для JRuby может привести к нулевым итерациям в цикле усиления. Затронутые приложения должны установить стоимость до 31, чтобы увидеть, как это происходит. Реализация JRuby bcrypt-ruby (`BCrypt.java``) вычисляет количество раундов, укрепляющих ключи, как подписанный 32-битный тизер. Когда `cost=31` (максимальный разрешенный драгоценным камнем), подписанный переполнение челнока приводит к тому, что круговой подсчет становится отрицательным, а укрепляющий цикл выполняет ** нулевые итерации**. Это разрушает bcrypt от 2^31 раундов экспоненциального укрепления ключа до эффективного вычисления постоянного времени - остается только начальная установка клавиш EksBlowfish и заключительная фаза шифрования 64x. Полученный хэш выглядит действительным (`$2a$31$...`) и правильно проверяет через `checkpw`, делая слабость невидимой для приложения. Эта проблема возникает только при использовании cost=31 или при проверке `$2a$31$` хэша. Эта проблема была исправлена в версии 3.1.22. В качестве обходного пути установите стоимость на что-то меньше 31.