Generatore di hash
MD5, SHA-256 e SHA-512 insieme
Questo generatore di hash mostra cinque digest affiancati mentre scrivi. Apri un file per verificare un download rispetto al suo checksum pubblicato. È il browser a fare i calcoli, quindi non viene caricato nulla.
- GratisPrezzo
- 5Algoritmi
- 512 MBFile massimo
- NessunoCaricamenti
Generatore di hash
MD5, SHA-1, SHA-256, SHA-384 e SHA-512 insieme
Ancora nessun hash.
Pronto. Scrivi del testo o apri un file e tutti gli hash compaiono insieme.
Cosa ti dà un generatore di hash
Una funzione di hash legge dati di qualsiasi dimensione e restituisce una breve impronta di lunghezza fissa. Inoltre lo stesso input dà sempre la stessa impronta, fino all’ultimo carattere.
Tuttavia, se cambi una sola lettera, circa metà dei bit del risultato si inverte. Questa proprietà rende un digest un modo rapido per dimostrare che due file coincidono esattamente.
In pratica questa pagina funziona allo stesso tempo da generatore di hash MD5 e da generatore di hash SHA256. Ognuna di queste funzioni però va in una sola direzione. Non puoi ricostruire un documento dal suo valore SHA-256, perché innumerevoli input condividono ogni output possibile.
Il browser include già gli algoritmi. Il riferimento MDN su SubtleCrypto.digest documenta la chiamata esatta che fa questa pagina.
MD5 e SHA-1 contro la famiglia SHA-2
MD5 scrive 32 caratteri esadecimali e SHA-1 ne scrive 40. Nel 2004 alcuni ricercatori hanno prodotto due file diversi con lo stesso MD5, e nel 2017 Google con il CWI di Amsterdam ha fatto lo stesso per SHA-1.
Quindi nessuno dei due va più bene per firme o certificati. Eppure entrambi restano utili per individuare danni accidentali, come un download interrotto a metà.
SHA-256, SHA-384 e SHA-512 appartengono a SHA-2, e nessuno ha trovato una collisione in nessuno di essi. Perciò, per qualsiasi cosa nuova, parti da SHA-256.
Quando serve una chiave segreta
Un hash semplice dimostra che i dati non sono cambiati, ma chiunque può calcolarlo. Quindi un attaccante che modifica un messaggio può semplicemente scriverci accanto un nuovo hash.
HMAC mescola una chiave segreta nel calcolo, come descrive l’RFC 2104. Solo chi possiede la chiave può produrre il valore corretto, ed è per questo che i webhook delle piattaforme di pagamento e di codice firmano così le richieste.
Gli hash non servono a salvare le password
SHA-256 è veloce, e la velocità aiuta gli attaccanti che provano miliardi di password al secondo. Invece salva le password con una funzione volutamente lenta come Argon2, bcrypt o scrypt, ciascuna con un sale unico.
Il generatore di hash, passo dopo passo
Quattro passaggi rapidi, e spesso il primo basta. Del resto ogni digest compare appena scrivi.
- 1
Scrivi o apri un file
Incolla il testo nella casella o premi Calcola l’hash di un file. Un file viene letto come byte grezzi, esattamente come sta sul disco.
- 2
Scegli l’output
L’esadecimale minuscolo corrisponde alla maggior parte delle pagine di checksum. Invece Base64 va bene per gli attributi
integrity, che di solito contengono un valore SHA-384 in quel formato. - 3
Aggiungi una chiave se serve
Spunta Usa una chiave segreta per passare ogni riga a HMAC. Poi incolla il segreto condiviso dalle impostazioni del webhook.
- 4
Confronta e copia
Incolla il checksum pubblicato nella casella di confronto. Un badge verde Corrisponde segna la riga che coincide.
Cosa distingue questo generatore di hash
Molti siti calcolano un algoritmo per pagina e prima inviano il testo a un server. Questo invece tiene tutto in locale e mostra tutti e cinque insieme.
Cinque digest in un passaggio
MD5, SHA-1, SHA-256, SHA-384 e SHA-512 compaiono insieme. Così non devi mai indovinare quale abbia usato una pagina di download.
Basato su Web Crypto
La famiglia SHA viene dal codice collaudato del browser stesso. Poiché i browser non includono MD5, una piccola versione verificata con i valori di prova dell’RFC 1321 colma quella lacuna.
Checksum che si verificano da soli
La casella di confronto ignora maiuscole e prefissi come sha256:. Di conseguenza un valore incollato da quasi qualsiasi fonte coincide comunque.
HMAC per ogni algoritmo
I fornitori di webhook usano digest diversi. Qui un solo interruttore firma con tutti e cinque, quindi il debug di una firma richiede un solo incolla.
Controllo dell’a capo
Gli editor aggiungono spesso un a capo alla fine di un file. Spunta una casella per ignorarlo quando il tuo hash non coincide con quello di un terminale.
Privato per progettazione
Chiavi e segreti passano di continuo per questa pagina. Poiché i calcoli avvengono nella tua scheda, nessuno raggiunge mai un server.
Regole per checksum e firme
L’hashing sembra semplice da fuori. Eppure alcune abitudini separano un controllo vero da un falso senso di sicurezza.
- Prendi il checksum da un secondo posto. Se un attaccante sostituisce il download, può sostituire anche il checksum su quella pagina. Quando puoi, prendi il valore da note di rilascio firmate.
- Preferisci SHA-256 per ogni cosa nuova. Funziona ovunque, e ogni piattaforma importante lo supporta. Quindi tieni MD5 e SHA-1 solo per confrontare vecchi valori pubblicati.
- Attenzione all’a capo invisibile. Il comando
echo text | sha256suminclude nell’hash anche un a capo finale. Usaecho -nquando vuoi solo il testo. - Confronta in tempo costante. Quando il server verifica un HMAC, usa un confronto sicuro rispetto ai tempi. Altrimenti i tempi di risposta possono rivelare quanti caratteri coincidevano.
- Tieni le chiavi HMAC lunghe e casuali. Una chiave lunga quanto il digest funziona bene, per esempio 32 byte casuali per HMAC-SHA-256. Invece le parole brevi di dizionario cedono ai tentativi.
- Annota quale algoritmo hai usato. Una stringa esadecimale non dice quale sia il suo algoritmo. Quindi salva accanto un’etichetta come sha256:, e il tuo io futuro ti ringrazierà.
Tre errori di hashing che causano danni reali
Ognuno supera ogni tanto una code review. Eppure ognuno ha già portato a violazioni o release difettose.
Proteggere le password con un semplice SHA-256
Una scheda grafica prova miliardi di tentativi SHA-256 al secondo. Perciò usa Argon2 o bcrypt, che rallentano ogni tentativo di proposito.
Calcolare l’hash di segreti senza chiave
Chiunque può calcolare l’hash di un messaggio che ha alterato. Se il valore deve dimostrare chi l’ha inviato, ti serve HMAC o una vera firma.
Fidarsi di MD5 contro le manomissioni
Creare due file con lo stesso MD5 oggi richiede pochi secondi. Perciò una corrispondenza MD5 non dimostra nulla quando qualcuno potrebbe barare.
Domande frequenti sull’hashing
Posso usarlo come generatore di hash MD5 per i file?
Sì. Premi Calcola hash di un file e scegli qualsiasi file fino a 512 MB. La riga MD5 mostra lo stesso valore stampato da md5sum o certutil, quindi puoi confrontarli direttamente.
Un hash SHA-256 è reversibile?
No. Un digest conserva troppe poche informazioni per ricostruire l’input. Infatti le password deboli si violano tirando a indovinare e calcolando l’hash di ogni tentativo, non invertendo la funzione.
Perché il mio hash è diverso da quello del terminale?
Di solito la causa è un a capo nascosto. Molti comandi aggiungono un a capo al testo di cui calcolano l’hash, quindi spunta Ignora l’a capo finale oppure usa echo -n nella shell.
Che differenza c’è tra un hash e un HMAC?
Un hash dipende solo dai dati, quindi chiunque può calcolarlo. Invece HMAC dipende anche da una chiave segreta, il che significa che solo chi ha la chiave può creare o verificare il valore.
Quale algoritmo scelgo per un lavoro nuovo?
SHA-256 va bene per quasi ogni lavoro moderno, dal controllo dei file alle firme. Scegli SHA-384 per la subresource integrity, e tieni MD5 o SHA-1 per i checksum più vecchi.
Il mio testo o file lascia il computer?
No. La pagina non invia mai ciò che scrivi o apri. Il browser legge i byte e calcola ogni digest in memoria, e nulla viene registrato.
Strumenti da usare con l’hashing
Un digest raramente è da solo in un flusso di lavoro. Questi tre gestiscono i passaggi intorno, tutti senza account.
Codificatore e decodificatore Base64
Trasforma una firma Base64 in byte, o viceversa.
Apri lo strumento →Generatore di password
Crea un segreto lungo e casuale per la tua chiave HMAC.
Apri lo strumento →Formattatore JSON
Leggi il payload del webhook che hai appena verificato.
Apri lo strumento →
Pronto a controllare un checksum?
Apri il file, incolla il valore pubblicato e cerca il badge verde. Il generatore di hash non costa nulla e tiene ogni byte sul tuo dispositivo.