ハッシュ生成器

ハッシュ（Hash）は、任意長のデータを固定長のダイジェストにマッピングするアルゴリズムです。同じ入力は常に同じ出力を生成し、わずかな入力変化でも全く異なる出力になります。ハッシュ値から元のデータを逆算することはできません。代表的なハッシュアルゴリズムにはMD5、SHA-1、SHA-256、SHA-384、SHA-512などがあり、データ整合性検証、パスワード保存、デジタル署名などのシーンで広く使用されています。

暗号学的ハッシュ関数は任意長の入力から固定長のダイジェストを生成し、3つのセキュリティ特性を持ちます。プリイメージ耐性（逆算が困難）、セカンドプリイメージ耐性（同じダイジェストを持つ異なる入力を見つけることが困難）、そして衝突耐性（同じダイジェストを持つ2つの入力を見つけることが困難）。MD5（Rivest 1991、RFC 1321）、SHA-1（NIST FIPS 180-1、1995）、SHA-2ファミリ（FIPS 180-4、2012）はすべてMerkle-Damgård構成です。入力はブロックサイズの倍数にパディングされ、一方向圧縮関数を介して反復処理されます。ブロックサイズはMD5、SHA-1、SHA-256で512ビット、SHA-512で1024ビットです。ダイジェストサイズはそれぞれ128 / 160 / 256 / 384 / 512ビットです。 MD5（Rivest 1991）は128ビットハッシュで、4つの32ビット連鎖ワード（A、B、C、D）による64ラウンドのクォーターラウンドで構成され、定数は正弦関数から導出されます（セキュリティ上の意味はなく、対称性を崩すだけ）。衝突攻撃：Wang et al. 2004がMD5の衝突探索を2⁴⁰のハッシュ評価に削減（手計算の差分パス）。Stevens 2009が選択プレフィックス衝突ツールを作成。Flameマルウェア2012が新しい選択プレフィックス攻撃を使用してMicrosoftコード署名証明書を偽造し、初の実世界でのMD5衝突エクスプロイトとして記録されました。現在、MD5の衝突はCPUで1ドル未満、GPUではミリ秒単位で生成可能です。新しいプロトコルにはSHA-256を使用してください。 SHA-1（FIPS 180-1、FIPS 180-4以降2011年にNISTが非推奨）は160ビットハッシュで、80ラウンドと5つの32ビット連鎖ワードを持ちます。SHAttered攻撃（Stevens et al.、2017年2月）が初の実用的なSHA-1衝突を生成し、約6,500CPU年と110GPU年のコストがかかりました。2020年までに選択プレフィックス衝突は約$45,000のGPU時間で実用的になり、2025年までにコモディティハードウェアでの衝突コストは$10,000を大幅に下回っています。Gitは2020年にSHA-1からSHA-256に移行し、HTTPS証明書は2017年以降SHA-1の使用が許可されていません。選択プレフィックス衝突のSHAttered出力（'SHAttered.pdf'と'SHAttered2.pdf'）は標準テストベクトルです。SHA-1ダイジェストは一致しますがコンテンツは異なります。 SHA-2（FIPS 180-4、2012）は6つのハッシュをカバーします。SHA-1の後継であるSHA-224、SHA-256、SHA-384、SHA-512に加え、2つの切り詰め変異体SHA-512/256とSHA-512/224があります。内部的にSHA-256は6つの論理関数（Ch、Maj、Σ0、Σ1、σ0、σ1）と64のラウンド定数K[t] = ⌊∛（t番目の素数の小数部の最初の32ビット）⌋を使用します。素数立方根構成は純粋に美的なもので、セキュリティ上の役割はありません。SHA-256は2010年頃から主力であり、TLS 1.3（RFC 8446）、Bitcoinのプルーフオブワーク（2025年の移行議論まで）、およびほとんどのコンテンツアドレッシングストレージの事実上の標準です。SHA-512/256は64ビットワードを使用しSHA-512の圧縮を実行してから切り詰めるため、64ビットハードウェアでより高速です。 SHA-3（FIPS 202、2014）とKeccak（元の提出）は根本的に異なる構造を使用します。1600ビット状態のKeccak-f[1600]スポンジ構成で、吸収/スクイーズフェーズを交互に行います。SHA-3はSHA-2と同じダイジェストサイズを持ちますが、Merkle-Damgårdハッシュに影響する長さ拡張攻撃に耐性があります。これは秘密プレフィックスMACのハッシュ化に有用な特性です。BLAKE2（RFC 7693）はソフトウェア上でSHA-256より高速で、WireGuard、Argon2、およびいくつかのモダンプロトコルで使用されています。 本ページでは、SubtleCrypto.digest（プラットフォームのネイティブコードを呼び出し。ChromiumではOpenSSL/BoringSSL、FirefoxではNSS、Safariでは同等のもの）を介してSHA-1、SHA-256、SHA-384、SHA-512をブラウザで実行し、SubtleCryptoがMD5を公開しないため（W3C Web Crypto APIによりMD5は「recommend-only」ステータス）、純粋JSのMD5実装にフォールバックします。10MBのファイルの場合、V8でのSHA-256は最新ノートPCで約400 MB/sで動作しますが、純粋JSのMD5は約100〜150 MB/sです。Web Crypto SHAファミリーは純粋JS実装より3〜4倍高速なため、SHA-1以上はネイティブインターフェースを経由させています。

• MD5（Rivest 1991、RFC 1321）: 128ビットダイジェスト、512ビットブロック、64ラウンド、Merkle-Damgård。Wang 2004（2⁴⁰の計算量）以降衝突破壊済み、2012年のFlameで選択プレフィックス衝突も破壊済み。新しいコードでは使用不可だが、非セキュリティ用途のチェックサム、ETag、コンテンツフィンガープリント、キャッシュキーとしては引き続き有効。
• SHA-1（FIPS 180-1、1995。FIPS 180-4、2011で非推奨）: 160ビットダイジェスト。SHAttered衝突（Stevens et al.、2017年2月）は約6,500CPU年のコスト。選択プレフィックス衝突は現在$10K未満。Gitは2020年にSHA-256に移行。CA/Browser Forumは2017年にHTTPS証明書でのSHA-1を禁止。
• SHA-256（FIPS 180-4）: 256ビットダイジェスト、Ch/Maj/Σ0/Σ1/σ0/σ1の64ラウンド、素数の立方根の小数部から導出された64のラウンド定数K[t]。TLS 1.3（RFC 8446）、ほとんどのコンテンツアドレッシングストレージ、Bitcoinマイニングの主力。256ビットセキュリティレベルで約128ビットの衝突耐性。
• SHA-384/SHA-512（FIPS 180-4）: SHA-512は64ビットワード、80ラウンド、1024ビットブロック。64ビットハードウェアでSHA-256の約1.5〜2倍高速。SHA-384はSHA-512を384ビットに切り詰めたもの。SHA-512/256はSHA-512を256ビットに切り詰め、SHA-256より優れた長さ拡張耐性を提供。
• SHA-3（FIPS 202、2014）/ Keccak: Keccak-f[1600]置換によるスポンジ構成、SHA3-256/384/512で1088/832/576ビットのレート。Merkle-Damgårdハッシュに影響する長さ拡張攻撃に耐性 -- 秘密プレフィックスMACに有用。
• BLAKE2（RFC 7693）とBLAKE3はモダンな高速ハッシュ。BLAKE2sはMAC鍵導出に一般的、BLAKE2bはWireGuardや多くのプロトコルで使用、BLAKE3は並列ハッシュ化用のMerkleツリーを追加。2025年時点でWeb Cryptoには未対応のため、本ページでは提供されません。
• Web Crypto API（W3C）: SubtleCrypto.digest('SHA-256', data)はプラットフォームのネイティブコードで計算されたPromise<ArrayBuffer>を返却。V8でSHA-256は約400 MB/s、純粋JSのMD5は約100-150 MB/s。この3〜4倍の差が、SHA-1以上をSubtleCrypto経由で処理する理由。
• 長さ拡張の注意: H(secret || message)は攻撃者がダイジェストとメッセージ長を知っている場合、すべてのMerkle-Damgårdハッシュ（MD5、SHA-1、SHA-2）で偽造可能。HMAC（RFC 2104）とSHA-3はこれを回避。MACにはHMAC-SHA-256またはKMACを使用。信頼できない入力のハッシュには生のダイジェストで問題なし。