SHA-1 oluşturucu

SHA-1 oluşturucu, bir karakter dizisini 40 onaltılık karakterle gösterilen 160 bitlik SHA-1 özetine dönüştüren ücretsiz bir araçtır.

SHA-1 ne işe yarar?

SHA-1, uzunluğu ne olursa olsun girdiden sabit uzunlukta bir parmak izi oluşturur. SHA-1 ile özetleme tek yönlü bir işlemdir. Bu nedenle özet, özgün metnin okunabilir bir kopyasını içermez. Girdideki küçük bir değişiklik bile farklı bir 160 bitlik sonuç üretir.

SHA-1, ABD Ulusal Güvenlik Ajansı tarafından tasarlanmış ve 1995 yılında Ulusal Standartlar ve Teknoloji Enstitüsü tarafından yayımlanmıştır. Adı, Secure Hash Algorithm 1 ifadesinin kısaltmasıdır. Bu adı kullanmaya devam etse de SHA-1 artık çakışma saldırılarına karşı güvenli kabul edilmez.

İki farklı girdi aynı özeti ürettiğinde SHA-1 çakışması meydana gelir. Araştırmacılar uygulanabilir SHA-1 çakışmalarını göstermiştir. Bu nedenle algoritma, saldırganın içeriği kasıtlı olarak değiştirebileceği dijital imzalar, sertifikalar ve benzeri durumlar için kullanımdan kaldırılmıştır.

SHA-1 özeti nasıl oluşturulur?

Özetini oluşturmak istediğin karakter dizisini tam olarak gir ve SHA-1 Hash Değeri sonuç alanındaki 40 karakterlik onaltılık değeri oku. İşlem sunucuda gerçekleştirilir. Girdin HTTPS üzerinden sunucuya iletilir ve saklanmaz.

Aşağıdaki standart örnekler, beklenen biçimi ve girdinin sonucu nasıl etkilediğini gösterir:

• abc girdisi a9993e364706816aba3e25717850c26c9cd0d89d sonucunu üretir.
• Boş bir bayt dizisi da39a3ee5e6b4b0d3255bfef95601890afd80709 sonucunu üretir.
• Sonunda boşluk bulunan abc girdisi, abc girdisinden farklı bir özet üretir.

SHA-1, insanların okuyabildiği karakterleri değil, baytları işler. Boşluklar, noktalama işaretleri, büyük harfler ve satır sonları sonuca etki eder. Bu SHA-1 oluşturucu, metin alanına girilen sayıları karakter olarak özetler. Dolayısıyla 123, 1, 2 ve 3 olmak üzere üç karakter anlamına gelir.

SHA-1 uygulanmadan önce aksanlı ve Latin alfabesi dışındaki karakterlerin bayt olarak kodlanması gerekir. Farklı karakter kodlamaları veya Unicode normalleştirmeleri kullanan iki sistem, görünüşte aynı metin için farklı özetler üretebilir. Bu oluşturucunun SHA-1 sonucunu başka bir sistemle karşılaştırırken her iki tarafın da aynı kodlamayı, genellikle UTF-8'i, ve aynı satır sonu biçimini kullandığını doğrula.

SHA-1 çözülebilir veya tersine çevrilebilir mi?

Hayır, SHA-1 özeti çözülemez. Çünkü özetleme şifreleme değildir ve kullanılabilecek bir şifre çözme anahtarı yoktur. Genel olarak, herhangi bir özgün girdiyi özetinden geri elde etmek hesaplama açısından uygulanabilir değildir.

Öngörülebilir girdilerde ise durum farklıdır. Saldırgan, sözlükteki veya oluşturulmuş bir listedeki olası değerlerin SHA-1 özetlerini eşleşme bulana kadar hesaplayabilir. Özetin kendisi kolayca tersine çevrilemese de SHA-1'in parola saklamak için kullanılmamasının nedeni budur.

Çakışma saldırısı da özeti çözmez. Bunun yerine aynı özeti veren iki farklı girdi bulur. Bu, saldırganların bulunduğu ortamlarda imzaların ve bütünlük kontrollerinin güvenilirliğini zedelemek için yeterlidir.

SHA-1 hâlâ nerelerde kullanılıyor?

SHA-1 hâlâ saldırı riskinin söz konusu olmadığı sağlama toplamlarında, yinelenen verileri tespit etmede ve eski bir biçimle uyumluluk gerektiren sistemlerde kullanılır. 40 karakterlik onaltılık gösterimine, geçmişte kullanılan kaynak denetimi tanımlayıcılarında ve arşivlenmiş yazılım kayıtlarında da rastlanır.

• Sağlama toplamları: Beklenen özet güvenilir bir kaynaktan geliyorsa SHA-1, yanlışlıkla yapılan değişiklikleri tespit edebilir. Ancak saldırgan hem dosyayı hem de yayımlanmış özetini değiştirebiliyorsa bütünlüğü kanıtlayamaz.
• Tekilleştirme: Kasıtlı çakışma oluşturmanın tehdit modeli dışında kaldığı durumlarda, görünüşte aynı olan kayıtları veya dosyaları belirlemeye yardımcı olabilir. SHA-1 kullanan ve hiçbir çakışmayı kabul edemeyen sistemler, asıl verileri de karşılaştırmalıdır.
• Eski sistemlerle uyumluluk: Bazı veri tabanları, API'ler ve dosya biçimleri mevcut bir SHA-1 değeri gerektirir. Bu gereksinimi karşılamak geçerli bir kullanım olsa da yeni tasarımlarda güncel bir algoritma tercih edilmelidir.

Düz SHA-1'i parolalar, dijital imzalar, sertifika oluşturma veya imzalama, güvenlik belirteci üretme ya da kimlik doğrulama ve kurcalamaya dayanıklı belge kayıtları için kullanma.

SHA-1'in güvenlik durumu ve alternatifleri

SHA-1'in çakışma direnci kriptografik olarak kırılmıştır ve güvenlik açısından hassas yeni çalışmalarda kullanımdan kaldırılmıştır. 160 bitlik özeti, yaygın SHA-2 ve SHA-3 türlerinin ürettiği özetlerden daha kısadır. Ancak SHA-1'in bırakılmasının tek nedeni özet uzunluğu değildir. Belirleyici unsur, uygulamalı olarak gösterilmiş çakışma saldırılarıdır.

Bir teknik özellik farklı bir algoritma gerektirmediği sürece, beklenen değerleri güvenilir bir kaynaktan gelen sağlama toplamları için SHA-256 veya SHA-512 kullan. Kimliği doğrulanmış bütünlük için uygun bir MAC veya dijital imza şeması gerekir. SHA-3 de güncel bir algoritma ailesidir. Özellikle 224 bitlik bir SHA-2 özeti gerekiyorsa SHA-224 oluşturucu bu biçimi üretir. Parolalar için SHA-1 yerine Argon2id, scrypt veya bcrypt gibi özel bir parola özetleme işlevi kullanılmalıdır.

SHA-1 hakkında sık sorulan sorular

SHA-1 özetini büyük veya küçük onaltılık harflerle yazmak sonucu değiştirir mi?

Hayır, büyük ve küçük onaltılık harfler aynı 160 bitlik değeri gösterebilir. Ancak büyük ve küçük harfe duyarlı metin karşılaştırması yapan bir sistem, bu iki karakter dizisini yine de farklı kabul edebilir. Bu nedenle sistemin beklediği biçimi koru.

Bu araçla bir dosyanın SHA-1 özetini hesaplayabilir miyim?

Bu araç karakter dizisi girdilerini özetler ve dosya yükleme özelliği sunmaz. Bir dosyanın sağlama toplamını hesaplamak için Linux'taki sha1sum gibi yerel bir araçtan veya dosyanın baytlarını doğrudan okuyan eşdeğer bir komuttan yararlan. İkili dosya içeriğini bu SHA-1 oluşturucunun metin alanına yapıştırma. Kodlama veya satır sonu değişiklikleri sonucu değiştirebilir.

HMAC-SHA-1 de kırıldı mı?

Yayımlanmış SHA-1 çakışma saldırıları, HMAC gizli bir anahtar ve ayrı bir yapı kullandığı için HMAC-SHA-1'i aynı şekilde doğrudan kırmaz. Yine de yeni protokoller, eski teknolojilere bağımlılıktan ve politika kısıtlamalarından kaçınmak için genellikle HMAC-SHA-256'yı veya başka bir güncel seçeneği tercih eder.

Tuz eklemek SHA-1'i parolalar için güvenli hâle getirir mi?

Hayır. Tuz, aynı parolaların saklanan SHA-1 özetlerinin aynı olmasını önler ve önceden hesaplanmış tabloların kullanılmasını zorlaştırır. Ancak SHA-1, parola saklamak için hâlâ fazlasıyla hızlıdır. Ayarlanabilir bir iş yükü katsayısını ve benzersiz, rastgele bir tuzu destekleyen parola özetleme işlevi kullan.

Son kontroller

Bu oluşturucunun SHA-1 sonucunu başka bir özetle karşılaştırmadan önce gizli boşlukları, sondaki satır sonunu, karakter kodlaması farklarını ve girdide değişmiş olabilecek büyük veya küçük harfleri kontrol et. SHA-1'i yalnızca mevcut bir sistem gerektirdiğinde veya çakışma direnci güvenlik gereksiniminin bir parçası olmadığında kullan. Yeni tasarımlarda güvenilir sağlama toplamları için güncel ve çakışmaya dayanıklı bir özet algoritması, mesaj kimlik doğrulaması için anahtarlı bir MAC veya uygun bir dijital imza şeması seç.