Hash Oluşturucu rehberi

Bir hash fonksiyonu ne yapar

Kriptografik bir hash fonksiyonu, her boyuttaki girdiyi özet adı verilen sabit boyutlu bir çıktıya eşler. İyi hash fonksiyonları tek yönlüdür (özetten girdiyi geri elde edemezsiniz), çakışmaya dayanıklıdır (aynı özeti veren iki farklı girdi bulamazsınız) ve değişime duyarlıdır (tek bir bitin tersine dönmesi çıktı bitlerinin yaklaşık yarısını değiştirir). Bu özellikler hash'leri sağlama toplamları, imzalar, yinelenen veriyi ayıklama ve bütünlük kontrolleri için kullanışlı kılar. Özetin uzunluğu her zaman sabittir: girdi tek bir harf de olsa gigabaytlarca dosya da olsa SHA-256 her ikisi için de 256 bitlik bir değer üretir.

Hash bir şifreleme değildir. Ortada anahtar yoktur ve çözülecek bir şey yoktur; özet yalnızca girdiyi tanımlar. Yaygın parolalar gibi kısa ya da tahmin edilebilir girdiler, tahminler hash'lenip karşılaştırılarak bulunabilir; tek başına hash'lemenin sırları korumamasının nedeni budur. Aynı sebeple bir e-posta adresinin ya da telefon numarasının özeti de anonim sayılmaz, çünkü olası değerlerin tamamı denenip eşleştirilebilir.

Hash Oluşturucu nasıl kullanılır

1. Hash Oluşturucu aracını açın ve metni yazın ya da yapıştırın. Klasik test cümlesini görmek için Örnek yükle düğmesine basın.
2. Her algoritmanın özeti hex dizeleri hâlinde görünür.
3. HMAC özetlerini hesaplamak için "Gizli anahtarla HMAC" seçeneğini işaretleyin ve anahtarı girin.
4. İhtiyacınız olan özeti kopyalayın ya da hepsini birden dışa aktarın.

Girdi UTF-8 olarak hash'lenir. Aynı metnin başka bir kodlamayla yazılmış hâli ya da bir düzenleyicinin sonuna eklediği satır sonu, farklı bir özet üretir. Bir komut satırı aracından gelen özetle karşılaştırırken her iki tarafın da tam olarak aynı baytları hash'lediğinden emin olun. Uygulamada en sık görülen iki fark, görünmeyen bir satır sonu ile Windows'un CRLF satır sonlarıdır.

# no trailing newline: printf, not echo
printf '%s' 'The quick brown fox jumps over the lazy dog' | sha256sum
d7a8fbb307d7809469ca9abcb0082e4f8d5651e46d3cdb762d02d0bf37c9e592  -

# HMAC-SHA256
printf '%s' 'message' | openssl dgst -sha256 -hmac 'secret-key'

Algoritmalar ve hangisi ne zaman kullanılır

"Kırık" ifadesi, bir saldırganın aynı özeti veren iki farklı girdi üretebildiği anlamına gelir. Bu durum, sertifikalarda, kod imzalamada ya da belge bütünlüğünde olduğu gibi bir hash içeriğe güvenmek için kullanıldığı her yerde önemlidir. İndirilen bir dosyadaki kazara bozulmayı tespit etmek gibi, kimsenin bilerek çakışma üretmeye çalışmadığı durumlarda ise çok daha az önemlidir; bazı dosyalar için hâlâ MD5 sağlama toplamı yayımlanmasının nedeni budur. Yine de yeni bir işe başlarken tercihinizi SHA-256'dan yana kullanın: gözle görülür biçimde yavaş değildir ve ileride algoritmayı değiştirme zahmetinden sizi kurtarır.

HMAC: anahtarlı hash'ler

HMAC (RFC 2104), bir hash fonksiyonunu gizli bir anahtarla birleştirir. Aynı anahtarı bilen alıcı HMAC'i yeniden hesaplar ve karşılaştırır; sonuçların eşleşmesi, iletinin değiştirilmediğini ve anahtara sahip biri tarafından üretildiğini kanıtlar. Webhook'lar, API isteklerinin imzalanması ve HS256 kullanan JWT'lerin tamamı HMAC'e dayanır. Düz bir hash bu güvenceyi veremez, çünkü iletiyi değiştiren biri özeti de yeniden hesaplayıp yerine koyabilir.

Kodda bir HMAC'i doğrularken özetleri normal bir dize karşılaştırmasıyla değil, sabit zamanlı bir karşılaştırma fonksiyonuyla kıyaslayın; aksi hâlde zamanlama üzerinden bilgi sızabilir. Uzun ve rastgele bir anahtar kullanın, açığa çıkmış olma ihtimali varsa anahtarı değiştirin. Oluşturucuya yazdığınız anahtar sayfada kalır ve hiçbir yere gönderilmez. Anahtarı ortak bir kod deposuna ya da istemci tarafında çalışan koda koymayın; oraya konan bir anahtar artık gizli değildir.

Hash'lerin günlük hayattaki kullanımları

Subresource Integrity, güvenlik amaçlı kullanımın iyi bir örneğidir: sayfa, bir CDN'den yüklenen betiğin beklenen hash'ini listeler ve tarayıcı, dosyanın hash'i farklıysa dosyayı çalıştırmayı reddeder. SRI değerlerinin base64 kodlanmış özetler olduğunu, oluşturucunun ise aynı değerleri hex gösterdiğini unutmayın; baytlar aynıdır, yalnızca kodlama farklıdır. Aynı mantık konteyner imajlarında sabitlenen özetler için de geçerlidir: etiket değişebilir ama özet aynı içeriği gösterir.

İndirilen dosyaları sağlama toplamıyla doğrulamak

Projeler çoğu zaman indirme bağlantılarının yanında SHA-256 sağlama toplamları yayımlar. İndirdikten sonra dosyanın hash'ini yerel olarak hesaplayın ve yayımlanan değerle karşılaştırın. Değerlerin eşleşmesi, dosyanın bozulmadığını ve başka bir dosyayla değiştirilmediğini gösterir; yeter ki sağlama toplamının kendisi güvenilir bir sayfadan, tercihen projenin https://downloads.example.com gibi kendi HTTPS adresinden gelmiş olsun. Sağlama toplamı dosyanın indirildiği yerde duruyorsa, o sunucuya erişen biri her ikisini birden değiştirebilir; bu yüzden imzalanmış bir sağlama toplamı listesi çok daha güçlü bir güvencedir.

# Linux
sha256sum example-installer.tar.gz

# macOS
shasum -a 256 example-installer.tar.gz

# Windows PowerShell
Get-FileHash .\example-installer.zip -Algorithm SHA256

Oluşturucu, yapıştırdığınız metin üzerinde çalışır. Dosyaları yukarıdaki komutlarla yerel olarak hash'leyin; bu yöntem büyük dosyaları bir tarayıcı sekmesine yüklemekten kaçınır ve çevrimdışı da çalışır. Birden fazla dosyayı tek seferde kontrol etmeniz gerekiyorsa sha256sum -c komutu, yayımlanmış bir sağlama toplamı listesini satır satır doğrular.

SSS

Kaynaklar

• FIPS 180-4: Güvenli Hash Standardı (SHA-1 ve SHA-2)
• RFC 2104: HMAC, ileti kimlik doğrulaması için anahtarlı hash'leme
• RFC 6151: MD5 ve HMAC-MD5 için güncellenmiş güvenlik değerlendirmeleri
• OWASP Parola Saklama Kılavuzu
• MDN: SubtleCrypto.digest()