מחולל Hash ובודק Checksum

קבלו MD5,‏ SHA-1,‏ SHA-256,‏ SHA-384 ו-SHA-512 לכל טקסט או קובץ בבת אחת, חשבו HMAC עם מפתח סודי, ובדקו קובץ מול checksum שפורסם.

רץ בדפדפן שלכםבלי הרשמהשום דבר לא מועלה

אימות checksum

איך משתמשים בכלי מחולל Hash

הקלידו או הדביקו טקסט, או עברו לקובץ וגררו קובץ. קבצים גדולים נקראים במקטעים עם סרגל התקדמות.
כל חמשת הגיבובים מחושבים בבת אחת. בחרו פלט hex באותיות קטנות, HEX באותיות גדולות או Base64.
סמנו HMAC והזינו מפתח סודי (כטקסט, hex או Base64) כדי לקבל HMAC-SHA256 עם מפתח ואת שאר גרסאות ה-HMAC.
כדי לאמת קובץ שהורד, הדביקו את ה-checksum שפורסם באימות checksum. האלגוריתם התואם יודגש.

מה זה hash?

פונקציית גיבוב קריפטוגרפית הופכת כל קלט לטביעת אצבע באורך קבוע. אותו קלט נותן תמיד את אותו hash, שינוי של בית אחד נותן hash שונה לחלוטין, ואי אפשר להפוך hash בחזרה לקלט שלו. זה הופך גיבובים לאידיאליים לבדיקת שלמות קבצים, ליצירת מפתחות cache, להסרת כפילויות בנתונים ולחתימה על הודעות.

באיזה אלגוריתם להשתמש?

אלגוריתם	פלט	מתאים ל-
MD5	128 ביט · 32 hex	רק checksums ישנים ומפתחות cache שאינם קשורים לאבטחה. קל מאוד ליצור התנגשויות.
SHA-1	160 ביט · 40 hex	מזהי אובייקטים ב-Git ומערכות ישנות. שבור מבחינת עמידות להתנגשויות מאז 2017.
SHA-256	256 ביט · 64 hex	בחירת ברירת המחדל: checksums להורדות, חתימות, בלוקצ'יין, חתימת בקשות API.
SHA-384 / SHA-512	384 / 512 ביט	מרווחי ביטחון גבוהים יותר; SHA-512 לרוב מהיר יותר מ-SHA-256 במעבדי 64 ביט.

אל תשתמשו באף אחד מהם לשמירת סיסמאות. הם תוכננו להיות מהירים, וזה עוזר לתוקפים. השתמשו במקום זאת בגיבוב סיסמאות איטי כמו Argon2id,‏ scrypt או bcrypt.

אימות checksum של קובץ

ספקי תוכנה מפרסמים לעתים קרובות SHA-256 ליד כל הורדה. גררו את הקובץ לכאן, הדביקו את הערך שפורסם, והכלי יגיד לכם אם הם תואמים. אפשר להדביק את השורה ישירות מקובץ SHA256SUMS; שם הקובץ שאחרי ה-hash מתעלמים ממנו. פקודות שקולות:

sha256sum file.iso          # Linux
shasum -a 256 file.iso      # macOS
certutil -hashfile file.iso SHA256   # Windows

מה זה HMAC?

HMAC‏ (RFC 2104) משלב מפתח סודי בתוך ה-hash, כך שרק מי שמחזיק במפתח יכול להפיק או לבדוק את הערך. Webhooks של Stripe,‏ GitHub ו-Slack נחתמים עם HMAC-SHA256, וגם JWT עם האלגוריתם HS256 משתמשים בו. הדביקו את גוף הבקשה הגולמי ואת סוד החתימה שלכם כדי לשחזר חתימה בזמן דיבאג.

שאלות נפוצות

האם הקבצים שלי מועלים כדי לחשב את ה-hash?

לא. טקסט וקבצים מגובבים מקומית באמצעות Web Crypto API של הדפדפן (ומימוש MD5 מובנה). שום דבר לא יוצא מהמכשיר שלכם.

למה ה-hash שלי שונה מזה של כלי אחר?

בדרך כלל הקלט שונה: ירידת שורה בסוף, סיומות שורה של Windows‏ (CRLF לעומת LF) או קידוד טקסט אחר. הכלי הזה מגבב טקסט כ-UTF-8 בדיוק כפי שהוקלד, בלי להוסיף ירידת שורה. שימו לב ש-echo "text" | sha256sum כולל ירידת שורה; השתמשו ב-echo -n.

אפשר לפענח hash?

לא. גיבוב הוא חד-כיווני. אתרים ש„מפענחים” MD5 או SHA-1 פשוט מחפשים את הערך בטבלאות של גיבובים של קלטים נפוצים, ולכן לא בטוח לגבב מחרוזות קצרות או נפוצות בלי סוד.

האם SHA-256 זה אותו דבר כמו SHA-2?

SHA-256 הוא אחד מבני משפחת SHA-2, שכוללת גם את SHA-224,‏ SHA-384 ו-SHA-512. ‏SHA-3 הוא תכנון שונה וחדש יותר.

עד איזה גודל קובץ אפשר לגבב?

עד 2 GB, בהתאם לזיכרון הדפדפן. הקבצים נקראים במקטעים של 4 MB עם סרגל התקדמות, כך שהדף נשאר רספונסיבי.

כלים קשורים

קידוד ופענוח Base64 קידוד ופענוח Base64 ו-base64url, לטקסט או לקבצים. מפענח JWT New פענוח header ו-payload של JWT, בדיקת תוקף ואימות HS256. מחולל UUID יצירת UUID v4/v7 בכמויות, אימות ובחינה. השוואת טקסטים (Diff) השוואת שני טקסטים זה לצד זה עם הדגשה ברמת המילה.