Генератор хешей

Все четыре — криптографические хеш-функции, которые создают отпечаток фиксированной длины из любого входного значения, но отличаются безопасностью и размером вывода. MD5 (128 бит) и SHA-1 (160 бит) считаются взломанными — коллизионные атаки доказаны, и они не должны использоваться в целях безопасности. SHA-256 (256 бит) — текущий интернет-стандарт, используемый в TLS, подписи JWT и большинстве схем хеширования паролей. SHA-512 (512 бит) обеспечивает дополнительный запас безопасности для высокоценных целей, таких как финансовые API и правительственные системы.

Да — это называется коллизией. Любая хеш-функция теоретически может выдать одинаковый результат для разных входных данных, поскольку вывод короче входных данных. Однако хорошая хеш-функция делает намеренный поиск такой коллизии вычислительно невозможным. MD5 и SHA-1 взломаны именно потому, что исследователи нашли эффективные способы создания коллизий. SHA-256 и SHA-512 не имеют известных практических коллизионных атак.

Нет — ни MD5, ни SHA-256 (или SHA-512) в одиночку не подходят для хранения паролей. Простые хеш-функции разработаны быстрыми, именно это и используют злоумышленники: современные видеокарты способны вычислять миллиарды хешей MD5 в секунду. Для паролей необходимо использовать специально разработанный, намеренно медленный алгоритм: bcrypt, scrypt, Argon2id или PBKDF2. Используйте этот инструмент для контрольных сумм и подписи API — не для хранения пользовательских паролей.

HMAC (код аутентификации сообщений на основе хеша) сочетает хеш-функцию с секретным ключом для создания тега аутентификации. Простой хеш проверяет целостность данных (данные не изменились), тогда как HMAC также проверяет подлинность (данные получены от того, кто владеет секретным ключом). HMAC-SHA-256 — стандарт для подписи запросов API, используемый в AWS Signature v4, Stripe, Shopify и практически всех платёжных шлюзах. Для вычисления HMAC нужен ключ, поэтому данный инструмент (выполняющий хеширование без ключа) не может генерировать теги HMAC.