ハッシュジェネレーター

暗号学的ハッシュ関数は、任意サイズの入力を受け取り、固定長の出力 — SHA-256なら256ビット、入力が1文字でもギガバイトでも変わりません — を生成し、それを有用にする2つの性質を持ちます: 同じ入力は常にまったく同じ出力を生成し、入力のたった1ビットの変化でも、わずかに異なる出力ではなく完全に異なる予測不能な出力を生成します。これがハッシュを検証に有用にするものです: 2つのハッシュを比較すれば、データ自体をバイト単位で比較する必要なく、2つのデータが同一かどうかを圧倒的な確信を持って知ることができます。

ハッシュ関数が明示的に行わないのは、元に戻せる形でデータを圧縮したり表現したりすることです — 設計上一方向の関数です。SHA-256の出力を受け取って元の入力を再構築する操作は存在せず、これはBase64のように自明に可逆なエンコーディング方式とは根本的に異なります。

暗号学的ハッシュが「破られている」と見なされるのは、具体的には誰かが同じ出力を生成する2つの異なる入力 — 衝突 — をブルートフォースが予測するよりも速く見つける方法を実証したときです。MD5に対する実用的な衝突攻撃は2004年から存在し、SHA-1に対する本物の実用的な衝突は2017年に実証されました。そのため、どちらもデジタル署名や証明書の検証など、攻撃者が意図的に一致するデータを偽造しようとする可能性がある場所では信頼すべきではありません。

それでも、より限定的で非敵対的な目的では広く使われ続けています: ダウンロードされたファイルが公開者が挙げたチェックサムと一致するかを確認したり、転送中の偶発的な破損を検出したりする用途です。そのシナリオでは誰も意図的に衝突するファイルを構築しようとしていないため、両アルゴリズムとも偶発的な違いの検出には完全に信頼できます — 脆弱性は具体的に意図的で設計された衝突についてのものであり、日常的な整合性検証についてではありません。

SHA-256とその仲間は意図的に高速です — その速度はダウンロードの検証には特徴であり、チェックサムを瞬時に計算したい場合には良いことですが、パスワードの保存には深刻な脆弱性です。そこでは速度こそまさに攻撃者が望むものだからです。最新の民生用ハードウェアは1秒間に数十億のSHA-256ハッシュを計算でき、これは生のSHA-256パスワードハッシュの盗まれたデータベースが、膨大な速度でブルートフォースされたり事前計算済みテーブルと照合されたりしうることを意味します。bcrypt、scrypt、Argon2のようなパスワードハッシュ専用に設計されたアルゴリズムは、意図的に遅く、試行ごとに計算コストが高くなっています。まさにその同じブルートフォース攻撃を、それに専念する計算力がかなりあっても実用不可能なほど遅くするために設計されており、これは汎用のチェックサム関数とは根本的に異なる設計目標です。