Генератор хешей

Криптографическая хеш-функция принимает входные данные любого размера и выдаёт результат фиксированной длины — 256 бит для SHA-256, независимо от того, был ли на входе один символ или один гигабайт, — с двумя свойствами, которые делают её полезной: одинаковые входные данные всегда дают одинаковый результат, а изменение хотя бы одного бита на входе даёт совершенно другой, непредсказуемый результат, а не слегка изменённый. Именно это делает хеш полезным для проверки: сравнение двух хешей с высокой степенью уверенности говорит о том, идентичны ли два набора данных, — без необходимости сравнивать сами данные байт за байтом.

Чего хеш-функция явно не делает — это сжатие или представление данных так, чтобы их можно было восстановить обратно: по своей природе это однонаправленная функция. Не существует операции, которая взяла бы результат SHA-256 и восстановила по нему исходные данные, — это принципиально отличается от схем кодирования вроде Base64, которые тривиально обратимы.

Криптографический хеш считается «взломанным» в том конкретном случае, когда кто-то демонстрирует способ найти два разных входных значения, дающих одинаковый результат, — коллизию, — быстрее, чем предсказывал бы простой перебор. Практические атаки на коллизии против MD5 существуют с 2004 года, а в 2017 году была продемонстрирована реальная практическая коллизия против SHA-1, поэтому ни одному из этих алгоритмов нельзя доверять там, где злоумышленник может намеренно попытаться подделать совпадающие данные, — например, в цифровых подписях или проверке сертификатов.

Тем не менее они по-прежнему широко используются для более узкой, неантагонистической задачи: проверки того, что скачанный файл соответствует контрольной сумме, опубликованной издателем, или обнаружения случайного повреждения при передаче. В таком сценарии никто не пытается намеренно сконструировать коллизионный файл, и оба алгоритма остаются полностью надёжными для выявления случайных различий — уязвимость касается именно преднамеренных, целенаправленно сконструированных коллизий, а не повседневной проверки целостности.

SHA-256 и его родственники намеренно быстрые — эта скорость является преимуществом при проверке загрузок, где вы хотите мгновенно вычислить контрольную сумму, и серьёзным недостатком при хранении паролей, где скорость — это именно то, что нужно злоумышленнику. Современное потребительское оборудование способно вычислять миллиарды хешей SHA-256 в секунду, а значит, украденную базу данных с обычными хешами паролей SHA-256 можно подобрать перебором или сверить с заранее вычисленными таблицами на огромной скорости. Специально созданные алгоритмы хеширования паролей — bcrypt, scrypt и Argon2 — намеренно медленные и требуют значительных вычислительных затрат на каждую попытку именно для того, чтобы сделать тот же самый перебор непрактично медленным даже при значительных вычислительных мощностях, — это принципиально иная цель, чем у хеш-функции общего назначения для контрольных сумм.