Hash-Generator
Fünf Prüfsummen in einem Durchgang
Dieser Hash-Generator zeigt beim Tippen fünf Digests nebeneinander. Öffnen Sie eine Datei, um einen Download mit seiner veröffentlichten Prüfsumme abzugleichen. Ihr Browser rechnet, also wird nichts hochgeladen.
- KostenlosPreis
- 5Algorithmen
- 512 MBGrößte Datei
- KeineUploads
Hash-Generator
MD5, SHA-1, SHA-256, SHA-384 und SHA-512 auf einmal
Noch nichts gehasht.
Bereit. Tippen Sie Text oder öffnen Sie eine Datei, und jeder Hash erscheint zusammen.
Was Ihnen ein Hash-Generator liefert
Eine Hash-Funktion liest Daten beliebiger Größe und gibt einen kurzen Fingerabdruck fester Länge zurück. Dabei ergibt dieselbe Eingabe immer denselben Fingerabdruck, bis zum letzten Zeichen.
Ändern Sie jedoch einen einzigen Buchstaben, kippt etwa die Hälfte der Bits im Ergebnis. Diese Eigenschaft macht einen Digest zu einem schnellen Beweis, dass zwei Dateien exakt übereinstimmen.
In der Praxis dient diese Seite zugleich als MD5-Hash-Generator und als SHA256-Hash-Generator. Jede dieser Funktionen arbeitet allerdings nur in eine Richtung. Sie können ein Dokument nicht aus seinem SHA-256-Wert zurückgewinnen, denn unzählige Eingaben teilen sich jede mögliche Ausgabe.
Ihr Browser bringt die Algorithmen bereits mit. Die MDN-Referenz zu SubtleCrypto.digest dokumentiert genau den Aufruf, den diese Seite macht.
MD5 und SHA-1 gegenüber der SHA-2-Familie
MD5 schreibt 32 Hex-Zeichen und SHA-1 schreibt 40. Forscher erzeugten 2004 zwei verschiedene Dateien mit demselben MD5, und Google gelang mit dem CWI Amsterdam 2017 dasselbe für SHA-1.
Deshalb eignet sich keiner der beiden mehr für Signaturen oder Zertifikate. Dennoch taugen beide weiterhin, um versehentliche Schäden zu erkennen, etwa einen Download, der auf halbem Weg abbrach.
SHA-256, SHA-384 und SHA-512 gehören zu SHA-2, und bei keinem hat man eine Kollision gefunden. Beginnen Sie daher bei allem Neuen mit SHA-256.
Wann Sie einen geheimen Schlüssel brauchen
Ein einfacher Hash beweist, dass sich Daten nicht verändert haben, doch jeder kann ihn berechnen. Ein Angreifer, der eine Nachricht bearbeitet, kann also einfach einen neuen Hash danebenschreiben.
HMAC mischt einen geheimen Schlüssel in die Berechnung, wie RFC 2104 beschreibt. Nur wer den Schlüssel hat, kann den richtigen Wert erzeugen, weshalb Webhooks von Zahlungs- und Code-Plattformen ihre Anfragen so signieren.
Hashes sind nicht zum Speichern von Passwörtern da
SHA-256 läuft schnell, und Geschwindigkeit hilft Angreifern, die Milliarden Passwörter pro Sekunde raten. Speichern Sie Passwörter stattdessen mit einer absichtlich langsamen Funktion wie Argon2, bcrypt oder scrypt, jeweils mit eigenem Salt.
Der Hash-Generator, Schritt für Schritt
Vier schnelle Schritte, und oft erledigt schon der erste die Arbeit. Schließlich erscheint jeder Digest, sobald Sie tippen.
- 1
Tippen oder Datei öffnen
Fügen Sie Text ins Feld ein oder klicken Sie auf Eine Datei hashen. Eine Datei wird als rohe Bytes gelesen, genau wie sie auf der Festplatte liegt.
- 2
Ausgabe wählen
Kleingeschriebenes Hex passt zu den meisten Prüfsummenseiten. Base64 passt jedoch zu
integrity-Attributen, die meist einen SHA-384-Wert in dieser Form tragen. - 3
Falls nötig, einen geheimen Schlüssel ergänzen
Setzen Sie das Häkchen bei Geheimen Schlüssel nutzen, um jede Zeile auf HMAC umzustellen. Fügen Sie dann das gemeinsame Geheimnis aus Ihren Webhook-Einstellungen ein.
- 4
Vergleichen und kopieren
Fügen Sie die veröffentlichte Prüfsumme ins Vergleichsfeld ein. Ein grünes Abzeichen Stimmt überein markiert die Zeile, die dazu passt.
Was diesen Hash-Generator auszeichnet
Viele Websites berechnen einen Algorithmus pro Seite und schicken Ihren Text zuerst an einen Server. Dieser hält jedoch alles lokal und zeigt alle fünf zusammen.
Fünf Digests in einem Durchgang
Sie sehen alle fünf auf einmal: MD5, SHA-1, SHA-256, SHA-384 und SHA-512. Also müssen Sie nie raten, welchen eine Download-Seite genutzt hat.
Auf Web Crypto aufgebaut
Die SHA-Familie stammt aus dem eigenen, geprüften Code Ihres Browsers. Weil Browser MD5 weglassen, füllt eine kleine, gegen die Testwerte aus RFC 1321 geprüfte Version diese Lücke.
Prüfsummen, die sich selbst prüfen
Das Vergleichsfeld ignoriert Groß- und Kleinschreibung sowie Präfixe wie sha256:. Dadurch passt ein eingefügter Wert aus fast jeder Quelle.
HMAC für jeden Algorithmus
Webhook-Anbieter nutzen verschiedene Digests. Hier signiert ein Schalter mit allen fünf, also braucht das Debuggen einer Signatur nur ein einziges Einfügen.
Kontrolle über den Zeilenumbruch
Editoren fügen am Dateiende oft einen Zeilenumbruch an. Setzen Sie ein Häkchen, um ihn zu ignorieren, wenn Ihr Hash nicht zum Terminal passt.
Privat durch Design
Schlüssel und Geheimnisse gehen ständig über diese Seite. Da die Rechnung in Ihrem Tab passiert, erreicht keines davon je einen Server.
Regeln für Prüfsummen und Signaturen
Hashing wirkt von außen einfach. Dennoch trennen ein paar Gewohnheiten eine echte Prüfung von falscher Sicherheit.
- Die Prüfsumme von einem zweiten Ort holen. Tauscht ein Angreifer den Download aus, kann er auch die Prüfsumme auf dieser Seite tauschen. Nehmen Sie den Wert deshalb wenn möglich aus signierten Release Notes.
- Für Neues SHA-256 bevorzugen. Es läuft überall, und jede große Plattform unterstützt es. Behalten Sie MD5 und SHA-1 also nur für den Abgleich mit älteren veröffentlichten Werten.
- Auf den unsichtbaren Zeilenumbruch achten. Der Befehl
echo text | sha256sumhasht auch einen abschließenden Zeilenumbruch mit. Nutzen Sieecho -n, wenn Sie nur den reinen Text wollen. - In konstanter Zeit vergleichen. Prüft Ihr Server ein HMAC, nutzen Sie einen zeitlich sicheren Vergleich. Sonst können Antwortzeiten verraten, wie viele Zeichen übereinstimmten.
- HMAC-Schlüssel lang und zufällig halten. Ein Schlüssel so lang wie der Digest funktioniert gut, etwa 32 zufällige Bytes für HMAC-SHA-256. Kurze Wörterbuchwörter fallen jedoch dem Raten zum Opfer.
- Notieren, welchen Algorithmus Sie genutzt haben. Ein Hex-String nennt seinen Algorithmus nicht selbst. Speichern Sie also ein Label wie sha256: daneben, und Ihr künftiges Ich wird es Ihnen danken.
Drei Hashing-Fehler mit echtem Schaden
Jeder davon besteht hin und wieder ein Code-Review. Dennoch hat jeder schon zu Datenlecks oder kaputten Releases geführt.
Einfaches SHA-256 für Passwörter
Eine Grafikkarte probiert Milliarden SHA-256-Versuche pro Sekunde. Nutzen Sie deshalb Argon2 oder bcrypt, die jeden Versuch absichtlich bremsen.
Geheimnisse ohne Schlüssel hashen
Jeder kann eine Nachricht hashen, die er verändert hat. Muss der Wert beweisen, wer sie geschickt hat, brauchen Sie also HMAC oder eine echte Signatur.
MD5 gegen Manipulation vertrauen
Zwei Dateien mit demselben MD5 zu erzeugen, dauert heute Sekunden. Daher beweist ein MD5-Treffer nichts, wenn jemand betrügen könnte.
Häufige Fragen zum Hashing
Kann ich ihn als MD5-Hash-Generator für Dateien nutzen?
Ja. Klicken Sie auf Datei hashen und wählen Sie eine beliebige Datei bis 512 MB. Die MD5-Zeile zeigt denselben Wert, den md5sum oder certutil ausgibt, also können Sie sie direkt vergleichen.
Lässt sich ein SHA-256-Hash umkehren?
Nein. Ein Digest enthält zu wenig Information, um die Eingabe wiederherzustellen. Schwache Passwörter knackt man nämlich, indem man rät und jeden Versuch hasht, nicht indem man die Funktion umkehrt.
Warum weicht mein Hash vom Terminal ab?
Meist liegt es an einem versteckten Zeilenumbruch. Viele Befehle hängen dem gehashten Text einen Zeilenumbruch an, also setzen Sie das Häkchen bei Abschließenden Zeilenumbruch ignorieren oder nutzen Sie echo -n in Ihrer Shell.
Was ist der Unterschied zwischen einem Hash und HMAC?
Ein Hash hängt nur von den Daten ab, also kann ihn jeder berechnen. HMAC hängt jedoch zusätzlich von einem geheimen Schlüssel ab, sodass nur Schlüsselinhaber den Wert erzeugen oder prüfen können.
Welchen Algorithmus sollte ich für neue Arbeit wählen?
SHA-256 passt zu fast jeder modernen Aufgabe, von Dateiprüfungen bis zu Signaturen. Wählen Sie außerdem SHA-384 für Subresource Integrity und behalten Sie MD5 oder SHA-1 für ältere Prüfsummen.
Verlässt mein Text oder meine Datei meinen Computer?
Nein. Die Seite sendet nie, was Sie tippen oder öffnen. Stattdessen liest Ihr Browser die Bytes und berechnet jeden Digest im Arbeitsspeicher, und nichts wird protokolliert.
Tools, die zum Hashing passen
Ein Digest steht in einem Arbeitsablauf selten allein. Diese drei erledigen die Schritte drumherum, alle ohne Konto.
Base64-Encoder und -Decoder
Machen Sie aus einer Base64-Signatur Bytes, oder umgekehrt.
Tool öffnen →Passwort-Generator
Erstellen Sie ein langes zufälliges Geheimnis für Ihren HMAC-Schlüssel.
Tool öffnen →JSON-Formatierer
Lesen Sie die Webhook-Nutzlast, die Sie gerade geprüft haben.
Tool öffnen →
Bereit, eine Prüfsumme zu prüfen?
Datei öffnen, den veröffentlichten Wert einfügen und nach dem grünen Abzeichen schauen. Der Hash-Generator kostet nichts und lässt jedes Byte auf Ihrem Gerät.