Hashing

En hashfunktion tager input af enhver størrelse og producerer et output med fast størrelse, som kaldes et digest. Det samme input giver altid det samme digest.

Det afgørende er, at hashing er en envejsoperation. Du kan ikke matematisk føre et digest tilbage til det oprindelige input. Det er det, der gør hashes forskellige fra både kodning og kryptering.

En kryptografisk hashfunktion bør være:

• Deterministisk: Det samme input giver det samme output.
• Hurtig at beregne (ved generel hashing), men helst langsom ved hashing af passwords.
• Modstandsdygtig over for preimage-angreb: Når du kender et digest, kan du ikke finde inputtet.
• Kollisionsresistent: Det skal være vanskeligt at finde to input med samme digest.
• Lavineeffekt: En ændring af én bit vender cirka halvdelen af outputbittene.

MD5 producerer et digest på 128 bit (32 hexadecimale tegn). Det er hurtigt og historisk udbredt, men er kryptografisk kompromitteret: Der findes praktiske kollisionsangreb.

Brug aldrig MD5 til sikkerhed. Du vil stadig møde det til kontrolsummer for filer og i ældre systemer, hvilket gør det til et hyppigt mål under sikkerhedsvurderinger.

SHA-familien (Secure Hash Algorithm) er mere robust:

• SHA-1: 160 bit. Regnes nu for kompromitteret (kollisionsangrebet »SHADOW HAMMER« / SHAttered). Undgå det.
• SHA-2: Omfatter SHA-256 og SHA-512. Bruges bredt og er i øjeblikket sikkert.
• SHA-3: Et nyere design baseret på Keccak, som er et alternativ til SHA-2.

Kryptering kan reverseres med en nøgle. Hashing kan slet ikke reverseres. Det er netop derfor, hashing bruges til at lagre passwords: Serveren har aldrig brug for originalen.

Når du logger ind, hasher serveren det, du skrev, og sammenligner det med den gemte hash. Hvis de stemmer overens, er du godkendt. Klartekst-passwordet gemmes aldrig.

Fordi hashning er deterministisk, er hashværdien af 'password' den samme for alle brugere. Angribere beregner på forhånd enorme opslagstabeller med hashværdi-til-klartekst, kaldet rainbow tables.

Hvis to brugere har den samme adgangskode, er deres gemte hashes identiske, hvilket afslører denne oplysning. Simple, hurtige hashes som MD5 eller SHA-256 alene er uegnede til adgangskoder.

Et salt er en unik, tilfældig værdi, der føjes til hver adgangskode før hashning. Det betyder:

• Identiske adgangskoder giver forskellige hashes.
• Forudberegnede rainbow tables bliver ubrugelige.

Salt-værdien gemmes sammen med hashværdien; den er ikke hemmelig. Dens opgave er at gøre hver hashværdi unik, så angribere tvinges til at knække dem enkeltvis.

bcrypt er specifikt designet til lagring af adgangskoder. Det er med vilje langsomt og har en konfigurerbar omkostningsfaktor (arbejdsfaktor), som gør det langsommere, efterhånden som hardwaren bliver bedre.

En bcrypt-hash indeholder algoritmen, omkostningen og salt-værdien i én streng. Langsomheden er en fordel: Den begrænser, hvor hurtigt angribere kan gætte.

Ud over bcrypt omfatter moderne muligheder for hashning af adgangskoder:

• scrypt: kræver meget hukommelse og modstår GPU- og ASIC-angreb.
• Argon2: vinder af Password Hashing Competition, kan indstilles efter tid og hukommelse. Det anbefalede moderne valg.
• PBKDF2: anvender en hurtig hash tusindvis af gange; acceptabel, men svagere end de ovenstående.

Hashes bruges også til integritet, ikke kun adgangskoder. En HMAC (Hash-based Message Authentication Code) kombinerer en hash med en hemmelig nøgle for at kontrollere både en meddelelses integritet og ægthed.

Kontrolsummer for filer (ofte SHA-256) lader dig kontrollere, at en download ikke er blevet ændret. Som hacker kan uoverensstemmende kontrolsummer afsløre ændrede eller ondsindede filer.

Som hacker støder du hele tiden på hashes:

• /etc/shadow på Linux gemmer saltede adgangskode-hashes med præfikser som $6$ (SHA-512) eller $2b$ (bcrypt).
• Windows gemmer NTLM-hashes i SAM-databasen.
• Webapps gemmer hash af adgangskoder i deres brugertabeller.

Når du genkender præfikset, kan du straks se algoritmen og vælge din strategi til at knække hashværdien.

Du forstår nu hashning:

• Hashning er en ensrettet, fastlængde og deterministisk transformation, som adskiller sig fra kodning og kryptering.
• MD5 og SHA-1 er kompromitterede; brug SHA-256 til generel integritetskontrol.
• Brug langsomme, saltede algoritmer til adgangskoder: bcrypt, scrypt eller Argon2.
• Salt-værdier besejrer rainbow tables; HMAC tilføjer nøglebaseret integritet.

Nu skal du udforske symmetrisk og asymmetrisk kryptering med AES og RSA.