Hash Oluşturucu

Hash fonksiyonu, herhangi bir boyuttaki girdiyi sabit boyutlu bir parmak izine dönüştürür. Tek bir karakteri değiştirdiğinizde çıktı bitlerinin yaklaşık yarısı değişir; bu yüzden "UltKit" ile "ultkit" birbiriyle ilgisiz özetler üretir. Ron Rivest'in 1992'de RFC 1321 ile yayımladığı MD5, 128 bit (32 onaltılık karakter) verir. 2004'te Xiaoyun Wang ve ekibi, aynı MD5 hash'ine sahip iki farklı girdinin nasıl üretileceğini gösterdi; 2012'de Flame zararlısı bir MD5 çakışmasını kullanarak sahte bir Microsoft kod imzalama sertifikası oluşturdu. SHA-1 (160 bit) de 2017'de Google ve CWI Amsterdam'ın ilk gerçek çakışmayı (SHAttered) yayımlamasıyla aynı şekilde çöktü. İkisi de burada "güvenlik için değil" olarak etiketlenmiştir.

SHA-256, SHA-384 ve SHA-512, NIST'in FIPS 180-4 ile belirlediği SHA-2 ailesine aittir ve bunlara karşı bilinen pratik bir saldırı yoktur. SHA-256; yazılım indirmeleri, Git'in yeni nesne biçimi, TLS sertifikaları ve Bitcoin için varsayılan seçimdir. MD5 ve SHA-1, kötü niyetli olmayan işler için (kazara bozulmayı fark etmek, dosyalardaki kopyaları ayıklamak gibi) hâlâ uygundur; birçok indirme sayfasının bunları listelemesinin nedeni budur.

Şifreleme tasarım gereği tersine çevrilebilir: anahtarı elinde tutan kişi aslına ulaşır. Hash'in anahtarı yoktur ve geri döndürülemez, çünkü sayısız girdi aynı özete karşılık gelir. Ancak bu, hash'i sırlar için güvenli bir kap yapmaz. Kısa ya da yaygın bir girdinin SHA-256 değerini gören saldırgan, biri eşleşene kadar adayları hash'ler; önceden hesaplanmış tablolar milyarlarca bilinen parolayı kapsar. Hızlı hash'ler hızlı olsun diye tasarlanır ve günümüz GPU'ları saniyede milyarlarca SHA-256 denemesi yapabilir.

Bu yüzden parolaları düz MD5 veya SHA-256 ile değil, Argon2, bcrypt ya da scrypt gibi bilerek yavaş tutulan ve tuzlanan bir parola hash'iyle saklayın; parolaların kendisini de bir parola oluşturucu ile üretin. Bu sayfayı hızlı hash'lerin iyi yaptığı işler için kullanın: indirilen dosyanın yayıncının verdiği sağlama toplamıyla eşleştiğini doğrulamak, iki dosyayı açmadan karşılaştırmak ya da kendi kodunuzun hesapladığı özeti kontrol etmek. Metin, sonda satır sonu olmadan UTF-8 olarak hash'lenir; bir sonucun terminalde echo "text" | sha256sum ile farklı çıkmasının olağan nedeni budur. Geliştirici araçları sayfası, hash'lemeyi tersine çevrilebilir kodlamalarla tek bir örnek üzerinde karşılaştırır.