Генератор хэшей

Хэш — это алгоритм, преобразующий данные произвольной длины в дайджест фиксированной длины. Одинаковый ввод всегда даёт одинаковый вывод, а малейшее изменение ввода приводит к совершенно другому результату, причём восстановить исходные данные из хэша невозможно. Распространённые алгоритмы хэширования включают MD5, SHA-1, SHA-256, SHA-384, SHA-512 и широко используются для проверки целостности данных, хранения паролей, цифровых подписей и других задач. Хэш-функции нужно понимать по цели: проверка целостности, быстрая идентификация или безопасность. MD5 и SHA-1 еще встречаются в старых checksums, но слабы для современных решений доверия; обычно выбирают SHA-256 или более сильные алгоритмы. Хэш не является шифрованием: его нельзя расшифровать, но слабые и предсказуемые входы можно угадать словарями или precomputed attacks.

Криптографическая хэш-функция отображает вход произвольной длины в дайджест фиксированной длины с тремя свойствами безопасности: устойчивость к прообразу (трудно обратить), устойчивость ко второму прообразу (трудно найти другой вход с тем же дайджестом) и устойчивость к коллизиям (трудно найти любые два входа с одним дайджестом). MD5 (Rivest 1991, RFC 1321), SHA-1 (NIST FIPS 180-1, 1995) и семейство SHA-2 (FIPS 180-4, 2012) — все построены по схеме Меркля-Дамгарда: вход дополняется до кратного размеру блока, затем итеративно проходит через одностороннюю функцию сжатия. Размер блока — 512 бит для MD5, SHA-1, SHA-256 и 1024 бита для SHA-512. Размеры дайджестов: 128 / 160 / 256 / 384 / 512 бит соответственно. MD5 (Rivest 1991) — 128-битный хэш, 64 раунда четвертного раунда с четырьмя 32-битными цепочечными словами (A, B, C, D), константы получены из синусной функции (без криптографического смысла, только для нарушения симметрии). Атаки на коллизии: Wang et al. 2004 сократили поиск коллизий MD5 до 2⁴⁰ хэш-вычислений (вычисленные вручную дифференциальные пути); Stevens 2009 написал инструмент коллизий с выбранным префиксом; вредоносное ПО Flame 2012 использовало новую атаку с выбранным префиксом для подделки сертификата подписи кода Microsoft, что стало первым публично известным эксплуатом коллизии MD5 в реальных условиях. Сегодня коллизия MD5 стоит менее доллара на CPU и миллисекунды на GPU. Для любых новых протоколов используйте SHA-256. SHA-1 (FIPS 180-1, признан устаревшим NIST в 2011 после FIPS 180-4) — 160-битный хэш с 80 раундами и пятью 32-битными цепочечными словами. Атака SHAttered (Stevens et al., февраль 2017) произвела первую практическую коллизию SHA-1 стоимостью ~6500 CPU-лет и 110 GPU-лет. К 2020 году коллизии с выбранным префиксом стали реальностью за ~45 000 долларов GPU-времени, а к 2025 году стоимость коллизии на обычном оборудовании значительно ниже 10 000 долларов. Git перешёл с SHA-1 на SHA-256 в 2020 году; HTTPS-сертификаты не могли использовать SHA-1 с 2017 года. Вывод коллизии SHAttered с выбранным префиксом ('SHAttered.pdf' и 'SHAttered2.pdf') — стандартный тестовый вектор: их SHA-1 дайджесты совпадают, но содержимое различается. SHA-2 (FIPS 180-4, 2012) включает шесть хэшей: преемники SHA-1 — SHA-224, SHA-256, SHA-384, SHA-512 плюс два усечённых варианта SHA-512/256 и SHA-512/224. Внутренне SHA-256 использует шесть логических функций (Ch, Maj, Σ0, Σ1, σ0, σ1) с 64 раундовыми константами K[t] = ⌊∛(первые 32 бита дробной части t-го простого числа)⌋ — конструкция кубического корня из простого числа чисто эстетическая и не играет роли в безопасности. SHA-256 — рабочая лошадка с ~2010 года и де-факто стандарт для TLS 1.3 (RFC 8446), proof-of-work Bitcoin (до обсуждений перехода в 2025) и большинства хранилищ с адресацией по содержимому. SHA-512/256 быстрее на 64-битном оборудовании, поскольку использует 64-битные слова и выполняет сжатие SHA-512, а затем усекает. SHA-3 (FIPS 202, 2014) и Keccak (оригинальная заявка) используют принципиально другую структуру: губчатую конструкцию Keccak-f[1600] с 1600-битным состоянием и чередующимися фазами поглощения/выжимания. SHA-3 имеет те же размеры дайджестов, что и SHA-2, но устойчив к атаке расширения длины, поражающей хэши Меркля-Дамгарда — полезное свойство при хэшировании MAC с секретным префиксом. BLAKE2 (RFC 7693) быстрее SHA-256 на программном уровне и используется в WireGuard, Argon2 и ряде современных протоколов. Эта страница выполняет SHA-1, SHA-256, SHA-384 и SHA-512 в браузере через SubtleCrypto.digest (который вызывает нативный код платформы — OpenSSL/BoringSSL в Chromium, NSS в Firefox, эквивалент в Safari), и откатывается на чистую JS-реализацию MD5, поскольку SubtleCrypto не предоставляет MD5 (согласно W3C Web Crypto API, MD5 имеет статус 'recommend-only'). Для файла 10 МБ SHA-256 в V8 работает на ~400 МБ/с на современном ноутбуке, а чистый JS MD5 — на ~100–150 МБ/с; SHA-семейство через Web Crypto в 3–4 раза быстрее любой чистой JS-реализации, поэтому страница направляет SHA-1+ через нативный интерфейс.

• MD5 (Rivest 1991, RFC 1321): 128-битный дайджест, 512-битный блок, 64 раунда, Меркля-Дамгард. Коллизии сломаны с Wang 2004 (2⁴⁰ операций) и сломан выбранный префикс в Flame 2012 — никогда не используйте для нового кода, но допустимо для не-криптографических контрольных сумм, ETags, отпечатков содержимого или ключей кэша.
• SHA-1 (FIPS 180-1, 1995; признан устаревшим FIPS 180-4, 2011): 160-битный дайджест. Коллизия SHAttered (Stevens et al., февраль 2017) стоила ~6500 CPU-лет; коллизии с выбранным префиксом сейчас стоят менее 10 000$. Git перешёл на SHA-256 в 2020; CA/Browser Forum запретил SHA-1 в HTTPS-сертификатах в 2017.
• SHA-256 (FIPS 180-4): 256-битный дайджест, 64 раунда Ch/Maj/Σ0/Σ1/σ0/σ1, 64 раундовые константы K[t], полученные из ∛(простого числа) дробных частей. Рабочая лошадка для TLS 1.3 (RFC 8446), большинства хранилищ с адресацией по содержимому и майнинга Bitcoin. 256-битный уровень безопасности даёт ~128-битную устойчивость к коллизиям.
• SHA-384/SHA-512 (FIPS 180-4): SHA-512 использует 64-битные слова, 80 раундов, 1024-битный блок. Примерно в 1,5–2 раза быстрее SHA-256 на 64-битном оборудовании. SHA-384 — это SHA-512, усечённый до 384 бит; SHA-512/256 — SHA-512, усечённый до 256 бит, с лучшей устойчивостью к расширению длины, чем SHA-256.
• SHA-3 (FIPS 202, 2014) / Keccak: губчатая конструкция с перестановкой Keccak-f[1600], скорости 1088/832/576 бит для SHA3-256/384/512. Устойчив к атакам расширения длины, поражающим хэши Меркля-Дамгарда — полезно для MAC с секретным префиксом.
• BLAKE2 (RFC 7693) и BLAKE3 — современные быстрые хэши; BLAKE2s — типичный для вывода ключа MAC, BLAKE2b используется в WireGuard и многих протоколах, BLAKE3 добавляет дерево Меркля для параллельного хэширования. Не в Web Crypto по состоянию на 2025 год, поэтому страница их не предоставляет.
• Web Crypto API (W3C): SubtleCrypto.digest('SHA-256', data) возвращает Promise<ArrayBuffer>, вычисленный нативным кодом платформы. ~400 МБ/с в V8 для SHA-256, ~100–150 МБ/с для чистого JS MD5 — разрыв в 3–4 раза объясняет, почему страница направляет SHA-1+ через SubtleCrypto.
• Предостережение о расширении длины: H(secret || message) подделывается для любого хэша Меркля-Дамгарда (MD5, SHA-1, SHA-2), если атакующий знает дайджест и длину сообщения. HMAC (RFC 2104) и SHA-3 избегают этого. Для MAC используйте HMAC-SHA-256 или KMAC; для хэширования ненадёжного входа подходит обычный дайджест.