Hash Algoritmaları Açıklandı: MD5, SHA-1, SHA-256, SHA-512

giriiş

Kriptografik hash fonksiyonu, rastgele boyutta input alır ve deterministic, hızlı hesaplanır, tersine çevrilmesi mümkün olmayan, collision-resistant ve avalanche-sensitive (bir bit değişikliği output bitlerinin yaklaşık yarısını değiştirir) fixed-size digest üretir. MD5 (128-bit), SHA-1 (160-bit), SHA-256 (256-bit) ve SHA-512 (512-bit) en yaygın dört hash fonksiyonudur, ancak güvenlik özellikleri dramatik olarak farklıdır.

Adım adım

1. Karma fonksiyonunun özelliklerini anlama

   İyi bir kriptografik karma, deterministiktir (aynı giriş her zaman aynı çıktıyı verir), sabit boyutlu çıktıdır, hesaplanması hızlıdır, tersine çevrilmesi mümkün değildir (görüntü öncesi direnç), aynı çıktıya sahip iki girişi bulmak mümkün değildir (çarpışma direnci) ve çığlar (minik giriş değişikliği, çıkış bitlerinin ~%50'sini çevirir).

2. Özet boyutlarını bilin

   MD5 128 bit (32 onaltılık karakter) üretir. SHA-1 160 bit (40 onaltılık karakter) üretir. SHA-256 256 bit (64 onaltılık karakter) üretir. SHA-512, 512 bit (128 onaltılık karakter) üretir. Daha uzun özetler çarpışma olasılığını azaltır ancak depolama boyutunu artırır.

3. MD5 ve SHA-1'in neden bozuk olduğunu öğrenin

   Araştırmacılar MD5 (2004) ve SHA-1'e (2017, SHAttered saldırısı) karşı pratik çarpışma saldırıları buldular. Çarpışmalar, bir saldırganın aynı hash ile iki farklı giriş oluşturmasına, dijital imzaları ve sertifika yetkililerini kırmasına olanak tanır. Her ikisi de güvenlik için kullanılmamalıdır.

4. Doğru algoritmayı seçin

   Hızın güvenlikten daha önemli olduğu dosya bütünlüğü kontrolleri için MD5 veya SHA-1 hala yaygındır. Güvenlik açısından hassas herhangi bir kullanım için (şifreler, imzalar, sertifikalar, blockchain) SHA-256 veya SHA-512 kullanın. Parola depolamak için bcrypt, scrypt veya Argon2 gibi yavaş bir KDF kullanın; asla ham değil SHA-256.

5. Karma değerleri hesaplayın ve doğrulayın

   Metni herhangi bir algoritmayla karma hale getirmek için Karma Oluşturucu'yu veya yerel bir dosyanın karmasını hesaplamak için Dosya Karmasını kullanın. Bütünlüğü doğrulamak için elde edilen özeti iyi olduğu bilinen bir değerle karşılaştırın; tek bitlik bir fark, dosyanın bozuk veya tahrif edilmiş olduğu anlamına gelir.

Örnekler

Yaygın Sorunlar

• Şifre karma işlemi için MD5 veya SHA-1 kullanılması: her ikisi de hızlı ve bozuk olduğundan kaba kuvvet ve gökkuşağı tablosu saldırılarını önemsiz hale getirir. Bunun yerine bcrypt, scrypt veya Argon2 kullanın.
• Hashing'i şifrelemeyle karıştırmak: Hashing tek yönlüdür ve geri döndürülemez; şifreleme iki yönlüdür. Bir karmanın 'şifresini çözemezsiniz'; yalnızca karmaları karşılaştırabilirsiniz.
• Uzunluk uzatma saldırılarının göz ardı edilmesi: MD5, SHA-1, SHA-256 ve SHA-512'nin tümü, MAC olarak kullanıldığında uzunluk uzatma saldırılarına karşı savunmasızdır. Mesaj kimlik doğrulaması için HMAC-SHA256'yı kullanın.
• Sabit zamanlı karşılaştırma yerine karmaları == ile karşılaştırmak: zamanlama sızıntıları, saldırganların karmaları bayt bayt kurtarmasına olanak tanır. Güvenlik kodunda sabit zamanlı karşılaştırma kullanın.

İpuçları

• Yeni sistemler için varsayılan olarak SHA-256'dır; hızlıdır, geniş çapta desteklenir ve 2026 itibarıyla pratik bir çarpışma saldırısı yoktur.
• Parola depolamak için, 12+ çalışma faktörüne sahip bcrypt (veya 64 MB belleğe sahip Argon2id) kullanın; hiçbir zaman ham SHA-256 kullanmayın; bu, GPU'lara göre çok hızlıdır.
• Dosya indirmelerini doğrularken hem algoritma adını hem de özeti karşılaştırın; yayıncı yalnızca SHA-256 niyetindeyse SHA-1 karma değeri anlamsızdır.
• SHA-256 büyük dosyaları yüklemeden yerel olarak hesaplamak için Dosya Karma aracımızı kullanın; bu, dosyayı Web Kripto API aracılığıyla aktarır.

İlgili Araçlar

• Hash Üretici — Üret SHA-256, SHA-1, SHA-512 and SHA-384 hashes from any text. Uses Web Crypto API, fully tamamen gizli.
• File Hash Hesaplayıcı — Calculate cryptographic hashes (SHA-256, SHA-1, SHA-512) of any file. All processing is local.
• UUID Üretici — Üret random UUIDs (v4) anında tarayıcınızda. Yükleme yok, fully tamamen gizli.
• Password Üretici — Üret strong, random passwords with customizable length and character sets. Uses crypto.getRandomValues.
• Base64 Encode & Decode — Kodla and decode Base64 with UTF-8 support. anında, tamamen gizli, browser-based. Yükleme yok, no signup.
• JWT Çözücü — Çöz JWT tokens and inspect the header and payload. See the decoded JSON content anında.
• AES 256 Ver Entschlüsseln Çevrimiçi Kostenlos, Im navegador — AES 256 Ver Entschlüsseln Çevrimiçi Kostenlos, Im navegador ücretsiz çevrimiçi. Verileri anında tarayıcınızda işler. Yükleme yok, kayıt gerektirmez, tamamen gizli.
• AES Metin Encrypter Decrypter — AES Metin Encrypter Decrypter ücretsiz çevrimiçi. Verileri anında tarayıcınızda işler. Yükleme yok, kayıt gerektirmez, tamamen gizli.

İlgili Kılavuzlar

• Base64 Kodlama ve Çözme: Tam Kılavuz
• JWT'yi Çözme ve Claimlerini Güvenli İnceleme
• Parola Güvenliği: Güçlü Parolaları Oluşturma, Saklama ve Denetleme
• UUID v1 vs v4 vs v5: Hangi Sürümü Seçmelisiniz?

Referanslar

• NIST FIPS 180-4 —Secure Hash Standard — Official SHA-1, SHA-256, SHA-512 specification
• RFC 1321 —The MD5 Message-Digest Algorithm — Original MD5 specification (historical, broken)
• SHAttered —The First Collision for SHA-1 — 2017 practical collision attack against SHA-1