哈希生成器

一个密码学哈希函数接受任意大小的输入,产出固定长度的输出——SHA-256 是 256 位,无论输入是一个字符还是一 GB 数据都一样——它有两个让它变得有用的特性:同样的输入总是产出完全相同的输出,而输入哪怕只改变一个比特,也会产出一个完全不同、不可预测的输出,而不是一个略有差异的输出。这正是哈希值在验证场景中有用的原因:比较两个哈希值,能以压倒性的置信度告诉你两份数据是否完全相同,而不需要逐字节比较数据本身。

哈希函数明确不做的一件事,是以某种可以还原的方式压缩或表示数据——它在设计上就是单向函数。没有任何操作能拿一个 SHA-256 的输出反推出原始输入,这和 Base64 这类可以轻易逆转的编码方案有本质上的不同。

一个密码学哈希被认为"已被攻破",具体是指有人展示出了一种能比暴力破解预期更快地找到两个产生相同输出的不同输入——即碰撞——的方法。针对 MD5 的实际碰撞攻击从 2004 年起就已经存在,而针对 SHA-1 的一次真实、可行的碰撞在 2017 年被展示出来,这也是为什么这两者都不应该被信任用在任何攻击者可能蓄意伪造匹配数据的场合,比如数字签名或证书验证。

它们之所以仍在广泛使用,是出于一个范围更窄、非对抗性的目的:验证下载的文件是否匹配发布者列出的校验和,或者检测传输过程中的意外损坏。在这种场景下没有人会蓄意构造一个碰撞文件,两种算法在捕捉意外差异这件事上依然完全可靠——它们的漏洞特指的是蓄意构造的、精心设计的碰撞,而不是日常的完整性检查。

SHA-256 及其同类算法在设计上就是快速的——这个速度对于验证下载文件来说是一个优点,因为你希望校验和瞬间算出来,但对密码存储来说恰恰是一个严重的隐患,因为速度正是攻击者想要的东西。现代消费级硬件每秒能计算数十亿次 SHA-256 哈希,这意味着一份被盗的原始 SHA-256 密码哈希数据库,能以惊人的速度被暴力破解,或者对照预先计算好的表进行核查。像 bcrypt、scrypt 和 Argon2 这类专门为密码设计的哈希算法,刻意让每次尝试都很慢、计算成本很高,专门为了让同样的暴力破解攻击变得实际上不可行,即使投入相当可观的算力——这和通用校验和函数的设计目标有本质上的不同。