ハッシュ生成ツール

よくある質問

ダウンロードしたファイルを検証するには？

「ファイル」を選んでダウンロードしたファイルをドロップし、SHA-256 の値をプロジェクトが公開しているチェックサムと比較します。1 文字でも違えば、同じファイルではありません。

パスワードに MD5 や SHA-1 を使えますか？

いいえ。高速すぎるうえ、既知の弱点があります。パスワードは Argon2、bcrypt、scrypt のような低速なパスワードハッシュで保存してください。

HMAC とは何ですか？

秘密鍵と組み合わせたハッシュです。鍵を知っている人から送られ、改ざんされていないメッセージであることを証明します。Stripe や GitHub などのサービスの Webhook はこの方法で署名されています。

ハッシュが他のツールと異なるのはなぜですか？

たいていは入力内の目に見えない違いが原因です。末尾の改行、Windows の改行コード、異なる文字エンコーディングなどです。このツールでは、テキストは常に入力どおり UTF-8 としてハッシュされます。

ハッシュは復号・逆変換できますか？

いいえ。ハッシュは暗号化ではなく、元に戻すための鍵もありません。「MD5 を復号」できるとうたうサイトは、よく使われる文字列のハッシュを集めた巨大なテーブルから値を検索しているだけです。パスワードや電話番号のような短い入力をソルトなしでハッシュしてもデータが匿名にならないのも、同じ理由です。

Webhook の HMAC 署名を検証するには？

「秘密鍵を使った HMAC」をオンにして署名用のシークレットを入力し、受信したままの生のリクエストボディを貼り付けてから、HMAC-SHA256 の 16 進数の値を署名ヘッダーと比較します。GitHub は X-Hub-Signature-256 で、sha256= という接頭辞の後に署名を送ります。整形し直した JSON では結果が変わります。また、タイムスタンプも署名に含めるプロバイダーがあるため、ドキュメントを確認してください。

ハッシュをどのアルゴリズムで生成したかを見分けるには？

16 進数での長さを見てください。MD5 は 32 文字、SHA-1 は 40 文字、SHA-256 は 64 文字、SHA-384 は 96 文字、SHA-512 は 128 文字です。他のハッシュにも同じ長さのものがあるため、長さだけでアルゴリズムは断定できませんが、すぐに候補を絞り込めます。確認するには、ここで既知の入力をハッシュしてみてください。