De slechtste supportavond van mijn WP Adminify-jaren begon met een wit scherm We ' d duwde versie 3.1.2 rond 23.00 uur naar de updateserver, en om 02.40 uur had ik 14 tickets die hetzelfde zeiden: update geïnstalleerd, site dood Ik rolde terug, testte de ritssluiting op mijn machine opnieuw - werkte perfect Dezelfde versie Zelfde bestand Vermoedelijk.
Het duurde beschamend lang voordat ik het voor de hand liggende deed: beide bestanden hashen De SHA-256 van de ritssluiting op mijn laptop en de SHA-256 van de ritssluiting die op de updateserver zat, deed & # 39; t match Niet eens sluiten - totaal verschillende samenvattingen De upload was ergens halverwege de overdracht afgekapt, de server diende vrolijk een kapot archief en PHP stikte in de onvolledige bestanden erin. Eén controlesomvergelijking zou het hebben opgemerkt voordat een enkele gebruiker werd bijgewerkt. Na die avond werd bij elke WP Adminify-release de SHA-256 afgedrukt in het implementatielogboek, en het uploadscript weigerde te publiceren tenzij de externe hash overeenkwam met de lokale versie. Sindsdien zijn er geen beschadigde releases meer.
Dat' s wat hashing is, op zijn meest praktische: een vingerafdruk voor data Feed in een bestand of een string, krijg een korte samenvatting met vaste lengte terug Als er ook maar één byte verandert - een omgedraaide bit, een ingekorte download, een stiekeme bewerking - verandert de samenvatting volledig. Ik grijp nu meerdere keren per week naar een hashgenerator online: downloads verifiëren, webhook-handtekeningen debuggen, configuratiebestanden in verschillende omgevingen vergelijken, gezond verstand controleren dat twee & quot;identical" bestanden zijn dat eigenlijk.
Daarom bouwde ik er een in Toolz.dev. Ik wilde een hashtool die alles in de browser berekent, mij MD5, SHA-1, SHA-256 en SHA-512 naast elkaar laat zien en nooit ergens een byte van mijn invoer uploadt Deze gids behandelt hoe je het kunt gebruiken, wat' gebeurt er feitelijk onder de motorkap, en de enige fout met hashing die ik al vroeg heb gemaakt - en die ik vandaag de dag nog steeds op codebases zie.
tl;dr: Gebruik de Toolz.dev-hash-generator om MD5-, SHA-1-, SHA-256- en SHA-512-digesties uit tekst of bestanden te berekenen, direct en volledig in uw browser via de Web Crypto API. Standaard naar SHA-256 voor alles wat er toe doet; behandel MD5 en SHA-1 alleen als oudere controlesommen. En gebruik deze nooit en te nimmer voor wachtwoorden. Dat en#39; s bcrypt- of Argon2-territorium.
Belangrijkste kenmerken
Meerdere algoritmen tegelijk
Plak uw invoer één keer en ontvang MD5, SHA-1, SHA-256 en SHA-512 gelijktijdig berekend Dit klinkt als een klein gemak totdat u ' opnieuw een foutopsporing doet aan iemand anders ' s-systeem en u don't weet welk algoritme ze hebben gebruikt. I' hebben hier realtime aan verloren - een betalingsgateway' Docs zei & Quot;SHA hash" zonder nummer eraan vast te maken, en ik zat daar samenvattingen één algoritme tegelijk te genereren in een terminal totdat er één overeenkwam. Met alle vier de samenvattingen op het scherm tegelijk, zorgt u er gewoon voor dat 2 teken 9 overeenkomt met de Itekenwaarde.
Tekst en bestand hashen
Typ of plak een tekenreeks, of laat een bestand vallen - de tool verwerkt beide Teksthashing dekt de alledaagse gevallen: foutopsporing van API-handtekeningen, cachetoetsen, snelle vergelijkingen Bestandshashing is waar het echte verificatiewerk plaatsvindt Controle van een gedownload installatieprogramma op een gepubliceerde controlesom, bevestiging van een plugin-ritssluiting overleefde de reis naar uw updateserver, verificatie van een database-dump die intact tussen machines is gekopieerd Het bestand wordt nooit ergens geüpload; het ' s wordt lokaal gelezen door uw browser en gehasht op zijn plaats I ' heb multi-honderdt-megabyte SQL dumpt op deze manier It ' is sneller dan u #39; verwacht, omdat de native browser-loops niet invoert, omdat de native Java-loops invoert.
Instant client-side berekening via web crypto
De SHA-familiedigesties worden berekend met de ingebouwde Web Crypto API van browser's crypto.subtle.digest- die native, geoptimaliseerde cryptografische code draait die met uw browser wordt meegeleverd Geen serverretour, geen wachtrij, geen spinner U krijgt resultaten zo snel als uw machine de invoer kan lezen Dit is om twee redenen belangrijk Ten eerste snelheid: hashing gebeurt in milliseconden, zelfs voor grote ingangen Ten tweede, vertrouwen: omdat de berekening lokaal is, werkt de tool hetzelfde, of u nu ' online bent in een coffeeshop of een gevoelige configuratie hasht op een vergrendeld netwerk De pagina laadt één keer; daarna is het netwerk irrelevant.
Uitgang in hoofdletters en kleine letters
Triviaal kenmerk, bespaart echte hoofdpijn Hex-digesties zijn hoofdletterongevoelig in betekenis - 2CF24DBA en 2cf24dba codeer identieke bytes - maar tekenreeksvergelijkingen don't weet dat Veel systemen slaan of publiceren samenvattingen in hoofdletters (sommige Windows-tooling, bepaalde leverancierscontrolesompagina's), terwijl de meeste Unix-tools kleine letters uitzenden Als u ' een samenvatting plakt in een vergelijkingsscript of een configuratiebestand dat exacte tekenreeksen matcht, maakt hoofdlettergebruik plotseling veel uit. De schakelaar betekent dat u het formaat kopieert dat u nodig heeft in plaats van de uitvoer via een hoofdletterconverter of, erger nog, & quot; fixing" het met de hand en het vetvreteren van een teken.
Vergelijk en verifieer modus
Hashing is slechts de helft van de klus - meestal jij ' controleer een samenvatting aan de hand van een verwachte waarde Plak de gepubliceerde controlesom naast je berekende en de tool vertelt je direct of ze overeenkomen, geen squinting op 64 hex-tekens vereist Ik gebruikte om controlesommen te verifiëren door de eerste en laatste paar tekens visueel te vergelijken Dat' is precies hoe je een mismatch in het midden mist Menselijke ogen zijn verschrikkelijk in het vergelijken van lange willekeurige tekenreeksen; dat' is een klus voor een gelijkheidscontrole De verificatiemodus normaliseert ook de behuizing en trimt de witruimte voordat deze wordt vergeleken, waardoor het meest voorkomende valse alarm wordt gedood: een verdwaalde achterruimte uit een slordige kopieerpasta.
100% privé - Niets verlaat uw browser
Dit is de functie waarop ik weiger compromissen te sluiten in alle tools.dev. Uw invoer - tekst of bestand - wordt lokaal gehasht en nooit verzonden. There' is geen verwerking aan de serverzijde, geen logboekregistratie, geen & quot; wij anonimiseren uw gegevens" kleine lettertjes, omdat er' geen gegevens zijn om te loggen Dit is belangrijker voor hashing dan mensen beseffen: de dingen die ontwikkelaars-hash zijn vaak precies de dingen die ze zouden moeten doen' plak in een willekeurige website - API-geheimen terwijl u HMAC-handtekeningen, licentiesleutels en dumps met e-mails van klanten debugt Met een client-side tool verdampt dit architectuur Open uw browser' netwerk tabblad als u meer over heeft geschreven. Gegevensprivacy en online tools post.
Hoe de hash-generator te gebruiken
Stap 1: Open de tool en kies uw invoer
Ga naar de Hash-generator. U' zal een invoergebied zien dat getypte/geplakte tekst of een bestand accepteert Voor tekst begint u gewoon met typen - hashing gebeurt terwijl u gaat Voor bestanden sleept u er een naar de dropzone of gebruikt u de bestandskiezer Niets uploadt; het bestand wordt lokaal gelezen door uw browser There' heeft geen plafond van grootte dat verder gaat dan waar uw machine's geheugen zich prettig bij voelt.
Stap 2: Lees de samenvattingen
Alle algoritmen berekenen in één keer: MD5, SHA-1, SHA-256, SHA-512 Elke samenvatting verschijnt in zijn eigen gelabelde rij, in hex. Let op de lengtes - 32 tekens voor MD5, 40 voor SHA-1, 64 voor SHA-256, 128 voor SHA-512. Als u ' matchen met een bekende controlesom en u ' Ik weet niet zeker welk algoritme het heeft geproduceerd, alleen al de lengte vertelt je meestal voordat je een enkel teken vergelijkt.
Stap 3: Schakel de case indien nodig
Als het systeem u & #39; re matching tegen gebruikt hoofdletters hex, draai de behuizing toggle De digest bytes zijn identiek hoe dan ook - dit gaat puur over string opmaak Kopieer de digest met de kopieerknop in plaats van met de hand te selecteren; een 128-karakter SHA-512 digest is zeer eenvoudig gedeeltelijk te selecteren, en een afgeknotte digest zal stilletjes elke vergelijking die u ermee maakt mislukken.
Stap 4: Verifieer tegen een verwachte hasj
Heb een gepubliceerde controlesom van een leverancier' s downloadpagina of een collega' s deploy log? plak het in het vergelijkingsveld De tool controleert het aan de hand van uw berekende samenvatting en geeft u een duidelijke match of mismatch Match betekent dat de gegevens byte-voor-byte identiek zijn aan wat de originele hash heeft geproduceerd Mismatch betekent iets veranderd - beschadigde overdracht, verkeerde bestandsversie of geknoei Don' rationaliseer een mismatch Opnieuw downloaden en opnieuw controleren.
MD5 vs SHA-256: Wat gebeurt er eigenlijk onder de motorkap
Een cryptografische hashfunctie neemt invoer van elke lengte en produceert een output met een vaste lengte, een digest. Vier eigenschappen maken het nuttig. deterministisch- dezelfde input levert altijd dezelfde samenvatting op. Het vertoont de lawineeffect- verander één bit invoer en ongeveer de helft van de uitvoerbits draait om. It's eenrichtings-- there's geen haalbaar pad van samenvatting terug naar invoer. En het's Botsingsbestendig- het vinden van twee verschillende inputs die dezelfde samenvatting produceren zou computationeel onhaalbaar moeten zijn.
Het lawine-effect is het bekijken waard met echte waarden. De MD5 van hello is 5d41402abc4b2a76b9719d911017c592. Eén letter met een hoofdletter - Hello- en je krijgt 8b1a9953c4611296a827abf8c47804d7. Geen enkel personage verschoof; een volledig ongerelateerde samenvatting. Hetzelfde verhaal met SHA-256: hello Hashes om 2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824, terwijl Hello produceert een digest dat er in wezen niets mee deelt. Dat is het punt. Een digest vertelt je welke van twee Gegevens gewijzigd, nooit hoeveel?.
Nu, de algoritmen. MD5 werd gedefinieerd in RFC 1321 in 1992 en produceert een 128-bits samenvatting. It' is snel, it's overal - en it's cryptografisch gebroken. Praktische botsingsaanvallen bestaan sinds 2004; onderzoekers kunnen twee verschillende invoergegevens vervaardigen met dezelfde MD5-samenvatting op standaardhardware. Dat doodt het voor alles wat vijandig is: handtekeningen, certificaten, integriteitscontroles waarbij een aanvaller inhoud kan vervangen. Het blijft prima voor niet-tegenstrijdige controlesommen - het detecteren van accidentele corruptie bij bestandsoverdracht, het dedupliceren van uw eigen gegevens - omdat willekeurige corruptie niet #39; krijgen om zijn bytes te kiezen. sha-1 (160-bit) duurde langer, maar de verbrijzelde aanval toonde een praktische botsing in 2017, compleet met twee verschillende pdf's die één SHA-1-digest deelden. Git gebruikt SHA-1 nog steeds intern om historische redenen, maar geen nieuw systeem zou dat moeten doen.
de SHA-2 familie- SHA-256 en SHA-512 onder hen - is gespecificeerd in FIPS 180-4 en blijft ononderbroken SHA-256 geeft je een 256-bit digest en is de gezonde standaard voor bijna alles SHA-512 biedt een grotere digest en is vaak sneller Op 64-bits CPU's, omdat het in 64-bits woorden werkt.
Drie onderscheidingen die mensen constant vervagen. hasj is eenrichtingsverkeer - geen sleutel, geen weg terug. versleuteling is tweerichtingsverkeer - iedereen met de sleutel kan decoderen. codering, zoals Base64, is zero-way bescherming - it' s gewoon een representatiewijziging die iedereen kan omkeren, geen sleutel nodig Als u ' ooit Base64 behandeld als & quot; encryption, & quot; mijn Base64-converter zal vrolijk aantonen waarom dat een probleem is, en mijn Base64-coderingsgids dekt het onderscheid diepgaand.
Wanneer u moet bewijzen dat een bericht afkomstig is van iemand die een gedeeld geheim heeft - webhook-handtekeningen, API-verzoekondertekening - is een gewone hash & # 39; t genoeg, omdat iedereen kan hashen. Dat' S hmac, gedefinieerd in RFC 2104: een sleutelconstructie die een hashfunctie omhult, zodat alleen sleutelhouders geldige samenvattingen kunnen produceren. HMAC-SHA256 is het werkpaard achter de meeste webhook-handtekeningschema's die je ooit zult debuggen.
En de grote: Hash nooit wachtwoorden met snelle hashes. Snel is hier de vijand - een aanvaller met een gelekte database kan miljarden MD5 of SHA-256 gissingen per seconde testen op GPU's Wachtwoorden hebben opzettelijk langzame, gezouten algoritmen nodig: bcrypt of Argon2 Laravel' S Hash::make() gebruikt bcrypt standaard om precies deze reden, en WordPress heeft jaren besteed aan het phpass draagbare hashing schema voordat het moderniseerde - onvolmaakt, maar het instinct (vertraag het, zout het) was juist. Ik heb dit op de harde manier geleerd: een vroeg freelance project van mij, jaren voordat WP Adminify, opgeslagen wachtwoorden als rauw md5($password). Klassieke rookie-beweging. Niemand is geschonden, maar ik huiver nog steeds.
Dit is wat de Toolz.dev-tool onder de motorkap doet en wat je jezelf zou schrijven:
const data = new TextEncoder().encode('hello');
const buf = await crypto.subtle.digest('SHA-256', data);
const hex = [...new Uint8Array(buf)]
.map(b => b.toString(16).padStart(2, '0'))
.join('');
// "2cf24dba5fb0a30e26e83b2ac5b9e29e..."
Of in PHP, één regel: hash('sha256', 'hello'). Dezelfde input, zelfde samenvatting, elke taal, elke machine. Dat determinisme is de hele basis.
Veelvoorkomende gebruiksgevallen
Verifiëren van bestandsdownloads en artefacten vrijgeven
De use case die me in de intro verbrandde. Leveranciers publiceren niet voor niets checksums naast downloads: overdrachten corrupt, spiegels worden oud en af en toe wisselt iemand een bestand. Download het bestand, hash het met de Hash-generator, vergelijk met de gepubliceerde waarde Match: het bestand is byte-identiek aan wat de uitgever heeft gehasht Mismatch: stop en opnieuw downloaden Voor mijn eigen releases is de regel sinds dat incident van 02.40 uur mechanisch - het deploy script berekent SHA-256 lokaal, uploadt, haalt het externe bestand op en#39; s hash, en weigert de & quot; huidige versie & quot; pointer tenzij ze ' zijn gelijk. It's misschien acht regels bash. Sindsdien zijn er twee ingekorte uploads bijgekomen, die beide ticketoverstromingen zouden zijn geweest. Goedkoopste verzekering in mijn pijplijn.
Cache-busting en ETAGS
Browsers cache agressief, en "alsjeblieft hard-refresh" is geen implementatiestrategie. De robuuste oplossing is bestandsnamen die door de inhoud worden gehasht: hash de inhoud van het bestand en een deel van de samenvatting insluiten in de naam, dus app.css HALD app.2cf24dba.css. Inhoudswijziging, hashwijzigingen, bestandsnaamwijzigingen, cache-missingen, gebruikers krijgen het nieuwe bestand. Inhoud identiek, bestandsnaam identiek, cache hit. Laravel Mix en Vite doen dit automatisch; in WP Adminify deed ik een versie van eigen bodem, waarbij ik de inhoud van de activa hash om de ver queryreeks WordPress wordt toegevoegd aan in de wachtrij geplaatste scripts - na één te veel " het instellingenpaneel ziet er gebroken uit" tickets die echt verouderde CSS waren. Hetzelfde principe ondersteunt ETags: de server hasht het antwoord, de browser stuurt de hash terug en een match betekent een kleine 304 in plaats van een volledige payload.
Deduplicatie van inhoud
Wil je weten of twee bestanden identiek zijn zonder ze byte voor byte te vergelijken - of wanneer ze op verschillende machines leven? Hash beide Gelijke samenvattingen betekenen gelijke inhoud (met SHA-256 zijn de botsingskansen zo absurd klein dat ze ' zijn geen gedachte waard). Dit schaalt prachtig: hash duizend uploads, sorteer de samenvattingen en dupliceert cluster onmiddellijk. I' hebben dit gebruikt om een WordPress-mediatheek te ontdubbelen die jaren van logo.png, logo-1.png, en logo-final-2.png- hashing onthulde welke eigenlijk dezelfde afbeelding waren met verschillende namen. It's ook hoe back-uptools beslissen wat ze overslaan en hoe objectwinkels detecteren dat een "upload" is inhoud die ze al bevatten.
Inhoudsadressen in Git-stijl
Git doet ' t slaat bestanden op naam op - het slaat ze op door hash. Elke blob, boom en commit wordt aangepakt door de samenvatting van de inhoud (SHA-1 historisch gezien, met een SHA-256-overgang in uitvoering). Dat' waarom commit-ID's op hashes lijken: zij vierkante decameter Hashes, en ze behandelen de snapshot, de ouders, de auteur, de tijdstempel. Verander alles in de geschiedenis en elke stroomafwaartse hasj verandert, wat het knoeiten met Git-geschiedenis luid voor de hand liggend maakt in plaats van stilletjes mogelijk. Dit begrijpen transformeerde hoe ik problemen met het debuggen van git-problemen. Wanneer twee machines het niet eens zijn over een commit, vertelt het vergelijken van hashes je meteen of je naar hetzelfde object of uiteenlopende geschiedenis kijkt. Contentadressering is een van die ideeën die academisch klinkt totdat het je repo opslaat.
Configs vergelijken zonder geheimen te onthullen
Staging werkt, productie niet, en je vermoedt de .env bestanden verschillen - maar je don't wilt productiegeheimen geplakt in een Slack thread of een screen-share Hash elk bestand op zijn eigen machine en vergelijk in plaats daarvan samenvattingen Verschillende hashes bevestigen dat de bestanden verschillen zonder een enkele waarde te onthullen Je kunt fijner gaan: hash individuele lijnen of specifieke sleutels om te lokaliseren die de toegang loopt uiteen. I & # 39; hebben meningsverschillen met hostingondersteuning op deze manier opgelost - & quot; uw exemplaar van de configuratie doet & # 39; t overeenkomen met de mijne, hier & # 39; is mijn SHA-256, controleer de yours" beëindigt het debat in één bericht De samenvatting bewijst verschil of gelijkheid terwijl de geheimen precies blijven waar ze thuishoren.
Handtekening debuggen van webhooks
Stripe, GitHub, Paddle - ze ondertekenen allemaal webhook-payloads, meestal met HMAC-SHA256, zodat je kunt verifiëren dat het verzoek daadwerkelijk van hen afkomstig is. En als uw verificatie mislukt, is het foutopsporing ellendig, omdat de fout stil is: handtekeningen komen gewoon overeen en#39;t, en de middleware zegt nee. Negen van de tien keer is de boosdoener de payload - uw raamwerk heeft de JSON opnieuw geserialiseerd, waardoor de witruimte of de sleutelvolgorde is gewijzigd, dus u ' hashen andere bytes dan ondertekend. Hashing de onvermengd Request Body op verschillende punten in uw pijplijn laat u precies zien waar de bytes muteren. Als het digest verandert tussen uw routebehandelaar en uw verificatiefunctie, heeft u de laag gevonden die het lichaam raakt. Terwijl je in die buurt bent, mijn JWT-decoder is handig voor de aangrenzende klus van het inspecteren van ondertekende tokens.
MD5 vs SHA-1 vs SHA-256 vs SHA-512: welke moet u gebruiken?
| algoritme | Verteert grootte | Relatieve snelheid | Beveiligingsstatus | Geschikte toepassingen |
|---|---|---|---|---|
| MD5 | 128-bits (32 hex-chars) | snelst | Gebroken - praktische botsingen sinds 2004 | Niet-tegensariële controlesums, compatibiliteit met legacy-systemen, cachesleutels |
| sha-1 | 160-bits (40 hex-chars) | onbeweeglijk | Gebroken - SHAttered botsing, 2017 | Legacy Git Internals, Interop met oude systemen; niets nieuws |
| SHA-256 | 256-bits (64 hex-chars) | onbeweeglijk | verzekerd | Standaard voor integriteitscontroles, handtekeningen, inhoudsadressering, HMAC |
| SHA-512 | 512-bits (128 hex-chars) | Snel (vaak sneller op 64-bits CPU's) | verzekerd | Hetzelfde als SHA-256; wanneer u extra marge of 64-bits doorvoer wilt |
Mijn standpunt, en ik zal er bot over zijn: standaard naar SHA-256 en stop er niet aan te denken. It' s veilig, universeel ondersteund, snel genoeg dat je nooit de kosten zult merken, en it' s wat je tools al spreken - TLS-certificaten, Docker-beelddigesties, pakketvergrendelingsbestanden, webhook-handtekeningen De mentale energie die wordt besteed aan het kiezen van een algoritme kan bijna altijd beter elders worden besteed.
De nuance die het waard is om te bewaren: MD5 is niet radioactief, het is niet objectief. Het detecteren van toevallige corruptie op uw eigen bestanden? Prima Alles waar een menselijke tegenstander baat bij zou kunnen hebben bij het vervalsen van een botsing? Absoluut niet SHA-1 zit in dezelfde emmer met minder excuses - de enige goede reden om het aan te raken is compatibiliteit met een systeem dat u don't controle. SHA-512 is een prima keuze en af en toe sneller op moderne 64-bits hardware, maar samenvattingen van 128 tekens zijn onpraktisch in logboeken en URL's, en de beveiligingsmarge van SHA-256 is al voorbij elke realistische aanval. En geen van de vier - herhaal, geen - hoort ergens in de buurt van een wachtwoordveld.
Veelgestelde vragen
Is MD5 nog steeds veilig te gebruiken?
Voor de veiligheid, nee. sinds 2004 bestaan er praktische botsingsaanvallen, wat betekent dat aanvallers twee verschillende bestanden kunnen maken met dezelfde MD5-samenvatting. Gebruik het nooit voor handtekeningen, certificaten, wachtwoordopslag of enige integriteitscontrole waarbij knoeien een probleem is. Het blijft acceptabel voor niet-vijandige taken - het detecteren van accidentele corruptie, het ontdubbelen van uw eigen bestanden, het genereren van cachesleutels - waarbij niemand u voor de gek probeert te houden. Gebruik bij twijfel SHA-256; het kost je niets.
Kun je een hash ongedaan maken om de originele gegevens te krijgen?
Nee. Hash-functies zijn eenrichtingsverkeer - de samenvatting bevat veel minder informatie dan de meeste invoer, dus omkering is wiskundig onmogelijk in het algemeen. Wat aanvallers feitelijk doen is raden: miljarden kandidaat-invoer hashen en samenvattingen vergelijken, met behulp van regenboogtabellen of GPU-brute kracht Dat werkt angstaanjagend goed tegen korte, veel voorkomende invoer zoals wachtwoorden gehasht met snelle algoritmen, en dat is precies de reden waarom wachtwoorden langzame, gezouten hashing nodig hebben in plaats van gewone MD5 of SHA-256.
Wat is het verschil tussen hashing en codering?
Encryptie is tweerichtingsverkeer: gegevens worden versleuteld met een sleutel, en iedereen die de juiste sleutel vasthoudt, kan deze terugdecoderen naar het origineel Hashing is eenrichtingsverkeer: je kunt een samenvatting berekenen op basis van gegevens, maar je kunt de gegevens niet herstellen van de samenvatting - er is geen sleutel en geen decodering Gebruik encryptie wanneer je de gegevens terug nodig hebt, hashing wanneer je alleen hoeft te verifiëren of te vergelijken Base64, voor de goede orde, is geen van beide - het is coderend, voor niemand omkeerbaar.
Welke hash moet ik gebruiken voor wachtwoorden?
Geen van de in deze tool. MD5, SHA-1, SHA-256, en SHA-512 zijn allemaal snel, en snel is fataal voor wachtwoorden - GPU's kunnen miljarden gissingen per seconde testen tegen een gelekte database Gebruik een opzettelijk langzaam, gezouten algoritme: bcrypt of Argon2 Laravel's Hash::: maak () gebruikt bcrypt standaard, en de meeste moderne frameworks bieden een equivalent Als u ruwe hash-oproepen schrijft voor wachtwoordopslag, stop en bereik dan voor uw framework' in plaats daarvan wachtwoordhashing API.
Is het veilig om gevoelige gegevens te hashen in een online tool?
Alleen als de tool echt client-side is De Toolz.dev Hash Generator berekent elke samenvatting in uw browser met behulp van de Web Crypto API - uw invoer wordt nooit verzonden, gelogd of opgeslagen op een server U kunt dit zelf bevestigen door het tabblad netwerk te bekijken terwijl u hash Met tools aan de serverzijde vertrouwt u een onbekende operator met wat u ook plakt, wat een slechte handel is voor API-geheimen, sleutels of klantgegevens Bij twijfel, controleer voordat u plakt.
Waarom maken "Hello" en "Hello" totaal verschillende hashes?
Dat is het lawine-effect, en het is opzettelijk Een goede hash-functie draait ruwweg de helft van zijn uitvoerbits om wanneer zelfs maar één invoerbit verandert, dus vergelijkbare invoer produceert enorm verschillende samenvattingen Door één letter te kapitaliseren verandert een enkele byte, maar de samenvatting wordt onherkenbaar Dit is een kenmerk: het betekent dat samenvattingen niets onthullen over hoe vergelijkbaar twee invoer is, en het maakt elke verandering - hoe klein ook - onmogelijk om te missen als je hashes vergelijkt.
Wat is het verschil tussen SHA-256 en SHA-512?
Beide behoren tot de SHA-2-familie gespecificeerd in FIPS 180-4, en beide worden als veilig beschouwd. SHA-256 produceert een 256-bits digest met behulp van 32-bits operaties; SHA-512 produceert een 512-bits digest met behulp van 64-bits operaties, waardoor het vaak sneller is op moderne 64-bits processors. In de praktijk is SHA-256 het ecosysteem dat standaard is en de samenvattingen zijn de helft van de lengte, waardoor logs en URL's beheersbaar worden. Kies SHA-512 voor extra beveiligingsmarge of 64-bits doorvoer, anders is SHA-256 voldoende.
Wanneer heb ik HMAC nodig in plaats van een gewone hasj?
Gebruik HMAC wanneer u moet bewijzen wie de hash heeft geproduceerd, niet alleen wat er is gehasht. Een duidelijke samenvatting kan door iedereen worden berekend, dus het verifieert de integriteit, maar niet de oorsprong. HMAC, gedefinieerd in RFC 2104, mengt een geheime sleutel in het hashingproces - alleen partijen die de sleutel vasthouden, kunnen geldige handtekeningen produceren of verifiëren. Dit is het mechanisme achter webhook-handtekeningen van Stripe, GitHub en soortgelijke diensten, bijna altijd als HMAC-SHA256 via de onbewerkte aanvraagtekst.
Scheep met vingerafdrukken, niet in geloof
Hashing is de zeldzame tool die & #39; zowel diepgaande informatica als doodeenvoudige dagelijkse praktijk Je don' t nodig hebt om Merkle-Damgård constructies te begrijpen om er voordeel uit te halen - je hebt de gewoonte nodig Hash je release artefacten Verifieer je downloads Vergelijk samenvattingen in plaats van oogborende bestanden Elk van die gewoonten is dertig seconden werk, en elk heeft, op een gegeven moment, mij een nacht bespaard die ik anders zou hebben besteed aan het verontschuldigen in een support wachtrij.
de Toolz.dev-hash-generator is gebouwd om die gewoonte wrijvingsloos te maken: vier algoritmen tegelijk, tekst en bestanden, verify-modus, allemaal berekend in uw browser zonder geüpload. Als u door de naburige concepten werkt, moet de Base64-converter dekt codering (en waarom het geen beveiliging is), de Wachtwoordgenerator verwerkt de geheimen die je nooit zou moeten hashen met SHA-256, en de JWT-decoder Rondt de gesigneerde-tokenkant van het verhaal af.
Voor het grotere geheel, mijn Handleiding voor coderingshulpmiddelen loopt door de rest van de ontwikkelaarstoolbox en Gegevensprivacy in online tools Legt uit waarom de verwerking aan de clientzijde de heuvel is die ik heb gekozen om op te sterven. Hash eerst, tweede inzetten. Je zelf om 2:40 uur zal je dankbaar zijn.
