ハッシュ生成

ハッシュは、任意の入力を固定長の値へ対応付ける関数で、同じ出力になる2つの入力を見つけることが不可能である「はず」のものです。この「はず」に話のすべてがかかっており、どのアルゴリズムが今もそれを満たすのかこそ、このページが伝えられる最も有用な情報です。

MD5とSHA-1は破られており、しかも理論の話ではない

MD5の衝突はノートPCでも数秒で作れ、実際に悪用された実績もあります。2012年には、FlameマルウェアがMD5衝突を使ってMicrosoftのコード署名証明書を偽造しました。SHA-1は2017年、GoogleとCWIが同じダイジェストを持つ2つのPDFを作成したことで陥落し、それ以降コストは下がる一方です。どちらも、署名、敵対者に備える整合性の検証、管理外の入力の重複排除には使えません。セキュリティと無関係なチェックサムとしては問題なく、今もどこにでもあります——だからこそこのページに載っているのです。

ハッシュはパスワードハッシュではない

SHA-256は速さを狙って設計されています。GPU上では毎秒数十億回の処理が可能です。パスワードにとって、速さこそがまさに誤りです。パスワードの防御は、推測のコストがパスワードの価値を上回るほど遅いことにあります。パスワードのSHA-256を保存する（saltの有無を問わず）と、データベースを手にした攻撃者は、よく使われるパスワードのリスト全体を数分で試せます。正しい道具はbcrypt、scrypt、Argon2で、いずれも意図的なコスト係数を持ちます。このページのどの機能もパスワードハッシュではありません。

HMACは「鍵とメッセージをハッシュする」ことではない

素朴な構成であるH(key || message)は、Merkle–Damgård型のハッシュ——MD5、SHA-1、SHA-256が含まれます——では破られています。ダイジェストと鍵の長さを知っている攻撃者は、鍵を一度も見ることなく、データを末尾に追加して、拡張後のメッセージの有効なダイジェストを計算できます。これがlength extension攻撃であり、HMACが入れ子になった内側と外側のハッシュを持つ独立したプリミティブとして存在する理由です。SHA-384とSHA-512/256は切り詰め方式のため、構造的にこの攻撃を受けません。

入力のエンコーディングでハッシュは変わる

ハッシュは文字ではなくバイト列に対して定義されます。そのためcaféのダイジェストは、アクセント付きの文字がUTF-8の2バイトC3 A9なのか、Latin-1の1バイトE9なのかで変わります。このページは全体を通してUTF-8を使います。現在のどのシステムもこれを指します。ローカルでは検証に成功し、本番環境で失敗する署名は、大抵これが原因です。

CRC32はそもそもハッシュではない

CRC32は伝送エラーを検出するために設計されたチェックサムで、意図的に衝突を作るのは容易です。32ビットしかないため、誕生日の限界（birthday bound）により、約65,000件の入力で偶然の衝突も起こりえます。ダウンロードの破損を検知するには正しい道具であり、それ以外には向いていません。