MD5, SHA-1, SHA-256 ve SHA-512 Hash Hesaplama

MD5 ve SHA-256 hash hesaplama nasıl yapılır?

Üstteki Metin kutusuna özetini almak istediğiniz metni yazın veya yapıştırın. Siz yazdıkça beş algoritmanın sonucu sağ tarafta güncellenir; her satırın yanındaki Kopyala düğmesiyle değeri panoya alabilirsiniz.

Dosya özeti için veya bir dosya seçin alanından dosyanızı seçin. Araç, dosya adını ve bayt cinsinden boyutunu gösterir. Metin kutusuna yeniden yazmaya başladığınızda dosya seçimi temizlenir ve hesaplama metne döner. Dosya tarayıcınızın belleğinde okunduğu için çok büyük dosyalarda hesaplama biraz sürebilir.

Sayfa açıldığında kutu boştur ve araç boş metnin özetlerini gösterir; örneğin boş metnin MD5 değeri d41d8cd98f00b204e9800998ecf8427e, SHA-256 değeri e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855'tir. Başka bir programda bu değerleri görüyorsanız, özeti alınan verinin boş olduğunu anlayabilirsiniz.

Sonuçlar varsayılan olarak küçük harfli onaltılık (hex) biçimdedir. Bazı yazılımlar değeri büyük harfle verir; karşılaştırmayı kolaylaştırmak için Büyük harfle göster kutusunu işaretleyebilirsiniz. Harf büyüklüğü değerin anlamını değiştirmez.

Hash değeri nedir, şifrelemeden farkı ne?

Hash (özet) fonksiyonu, herhangi uzunluktaki veriyi sabit uzunlukta bir parmak izine dönüştürür. İki temel özelliği vardır: aynı girdi her zaman aynı çıktıyı verir ve girdideki en küçük değişiklik çıktıyı tamamen değiştirir.

Şifreleme ise geri alınabilir bir işlemdir: doğru anahtara sahip olan kişi şifreli veriyi açıp asıl metne ulaşır. Hash'te anahtar yoktur ve işlem tek yönlüdür. Bu nedenle "MD5 şifreleme" veya "SHA-256 şifreleme" ifadeleri teknik olarak yanlıştır; doğrusu "MD5 özeti" ya da "SHA-256 hash'i"dir. Şifrelemenin nasıl çalıştığını simetrik şifreleme algoritmaları yazısında, hash ile dijital imzanın ilişkisini ise hash fonksiyonları ve dijital imzalar yazısında bulabilirsiniz.

Tek yönlü olması, her hash'in "çözülemez" olduğu anlamına gelmez. "123456" gibi kısa ve yaygın metinlerin özetleri önceden hesaplanmış tablolarda bulunur; saldırgan olası metinleri tek tek deneyerek eşleşmeyi yakalayabilir.

Algoritmalar ve çıktı uzunlukları

Her algoritma, girdi ne kadar uzun olursa olsun sabit uzunlukta bir özet üretir. Onaltılık gösterimde her karakter 4 biti temsil ettiği için karakter sayısı bit sayısının dörtte biridir.

Araç, SHA ailesi için tarayıcının yerleşik Web Crypto API'sini kullanır. Web Crypto MD5 desteği sunmadığından MD5, RFC 1321 tanımına göre yazılmış ayrı bir kodla yine tarayıcıda hesaplanır.

Küçük bir değişiklik, bambaşka bir özet

Aşağıdaki tabloda "abc" ile yalnızca ilk harfi büyük yazılmış "Abc" metninin özetleri var. "abc" değerleri bu algoritmaların standart test örnekleridir; aracı kullanarak aynı sonuçları kendiniz görebilirsiniz.

Tek bir harfin büyüklüğü değişti ama özetlerin hiçbir bölümü benzemiyor. Bu özelliğe "çığ etkisi" denir ve hash'i değişiklik tespiti için kullanışlı kılar.

Türkçe karakterler ve UTF-8

Hash, harflerin kendisinden değil baytlardan hesaplanır. Bu araç metni UTF-8 olarak bayta çevirir ve kaç bayt olduğunu sonucun üstünde gösterir. UTF-8'de "ş", "ğ", "ı" gibi harfler iki bayt yer kaplar; örneğin "şifre" beş harf olduğu hâlde 6 bayttır.

Aynı metin Windows-1254 gibi eski bir Türkçe kodlamayla bayta çevrilirse bayt dizisi, dolayısıyla özet de farklı olur. Başka bir programla karşılaştırma yaparken iki tarafın da UTF-8 kullandığından emin olun. Metnin sonundaki fazladan bir boşluk ya da satır sonu da farklı sonuç almanın sık görülen bir nedenidir.

Hash kontrolü: indirdiğiniz dosyayı doğrulama

İşletim sistemi kalıpları, yazılım kurulum dosyaları ve açık kaynak paketler genellikle indirme sayfasında bir SHA-256 değeriyle yayımlanır. Doğrulama için:

1. Dosyayı indirin ve yayıncının resmî sayfasındaki SHA-256 değerini not edin.
2. Bu araçta dosya seçin alanından indirdiğiniz dosyayı seçin.
3. SHA-256 satırındaki değeri yayımlanan değerle karşılaştırın. Tek bir karakter bile farklıysa dosyayı kullanmayın, yeniden indirin.

Dosya bu işlem sırasında bilgisayarınızdan çıkmaz. Aynı kontrolü komut satırında da yapabilirsiniz: Windows'ta PowerShell ile Get-FileHash dosya.iso -Algorithm SHA256, Linux'ta sha256sum dosya.iso, macOS'ta shasum -a 256 dosya.iso.

Özet ile dosya aynı sunucudan geliyorsa, sunucuyu ele geçiren biri ikisini birden değiştirebilir. Özet yalnızca dosyanın yolda bozulmadığını kanıtlar; kaynağın gerçekten yayıncı olduğunu doğrulamak için dijital imza gerekir.

MD5 ve SHA-1 neden güvenli sayılmıyor?

İyi bir hash fonksiyonunda aynı özeti veren iki farklı girdi (çakışma) bulmak pratikte imkânsız olmalıdır. MD5 için çakışma üretmek uzun süredir sıradan bir bilgisayarda yapılabiliyor; SHA-1 için de 2017'de pratik bir çakışma kamuoyuna gösterildi. Bu yüzden araç bu iki satırı "güvenlik için önerilmez" notuyla işaretler.

MD5 ve SHA-1, kasıtlı değiştirmenin söz konusu olmadığı basit bozulma kontrollerinde hâlâ iş görebilir. Güvenlik gerektiren her işte SHA-256 veya daha uzun bir SHA-2 algoritmasını tercih edin.

Şifre saklamak için hash yeterli değil

Bir web sitesi kullanıcı şifrelerini MD5 veya SHA-256 ile saklarsa, veritabanı sızdığında saldırgan milyarlarca tahmini hızla deneyebilir. Şifre saklamak için bilerek yavaş çalışan ve her kullanıcıya ayrı tuz ekleyen bcrypt, scrypt veya Argon2 kullanılmalıdır. Ayrıntılar için şifreler nasıl saklanmalı yazısına bakabilirsiniz. Kodla hash hesaplamak isteyen yazılımcılar C# ile SHA-256 ve Python ile MD5 örneklerini inceleyebilir.

Base64 de sık karıştırılan bir kavramdır: o ne hash ne şifrelemedir, yalnızca bir kodlamadır (Base64 şifreleme mi?). Kendi hesaplarınız için güçlü bir şifreye ihtiyacınız varsa şifre üreticiyi kullanın.