ハッシュ化

ハッシュ関数は、任意のサイズの入力を受け取り、ダイジェストと呼ばれる固定サイズの出力を生成します。同じ入力からは常に同じダイジェストが生成されます。

重要なのは、ハッシュが一方向の操作であることです。ダイジェストを数学的に逆算して、元の入力に戻すことはできません。この点が、ハッシュをエンコードや暗号化と異なるものにしています。

暗号学的ハッシュ関数には、次の特性が必要です。

• 決定的：同じ入力から同じ出力が得られます。
• 計算が高速（一般的なハッシュの場合）ですが、パスワードハッシュでは理想的には低速であるべきです。
• 原像計算困難性：ダイジェストから入力を見つけることができません。
• 衝突耐性：同じダイジェストを持つ2つの入力を見つけることが困難です。
• 雪崩効果：1ビットの変更によって、出力ビットのおよそ半分が反転します。

MD5は128ビット（32個の16進文字）のダイジェストを生成します。高速で歴史的に広く使われてきましたが、暗号学的に破られており、実用的な衝突攻撃が存在します。

セキュリティ目的でMD5を使用してはいけません。ただし、ファイルチェックサムやレガシーシステムでは今も遭遇するため、セキュリティ評価では頻繁に標的になります。

SHA（Secure Hash Algorithm）ファミリーは、より堅牢です。

• SHA-1：160ビット。現在は破られたものと見なされています（「SHADOW HAMMER」/ SHAtteredという衝突攻撃）。使用を避けてください。
• SHA-2：SHA-256やSHA-512を含みます。広く使われており、現在も安全です。
• SHA-3：SHA-2とは異なる、Keccakを基盤とした新しい設計です。

暗号化は鍵を使って元に戻せます。一方、ハッシュはまったく元に戻せません。だからこそ、パスワードの保存にハッシュが使われます。サーバーは元のパスワードを必要としないためです。

ログインすると、サーバーは入力した内容をハッシュ化し、保存されているハッシュと比較します。一致すれば認証されます。平文のパスワードが保存されることはありません。

ハッシュ化は決定論的であるため、「password」のダイジェストはすべてのユーザーで同じになります。攻撃者は、ダイジェストと平文の対応をまとめた巨大な検索テーブルを事前計算します。これがレインボーテーブルです。

2人のユーザーが同じパスワードを使っていると、保存されたハッシュも同一になり、その事実が漏えいします。MD5やSHA-256のような単純で高速なハッシュだけでは、パスワード用途には適していません。

ソルトとは、ハッシュ化する前に各パスワードへ追加する、一意のランダムな値です。これにより、次のようになります。

• 同一のパスワードでも異なるハッシュが生成されます。
• 事前計算されたレインボーテーブルが役に立たなくなります。

ソルトはハッシュと一緒に保存され、秘密にする必要はありません。目的はすべてのハッシュを一意にし、攻撃者にそれぞれを個別にクラックさせることです。

bcryptは、パスワードの保存専用に設計されています。意図的に低速で、設定可能なコスト係数（ワークファクター）を備えており、ハードウェアの性能が向上しても処理を遅くできます。

bcryptのハッシュには、アルゴリズム、コスト、ソルトが1つの文字列に埋め込まれています。低速であることは機能の一つです。これにより、攻撃者が試行できる速度を制限します。

bcrypt以外にも、現代的なパスワードハッシュの選択肢には次のものがあります。

• scrypt：メモリハードなアルゴリズムで、GPUやASICによる攻撃に強い方式です。
• Argon2：Password Hashing Competitionの優勝方式で、時間とメモリを調整できます。現代では推奨される選択肢です。
• PBKDF2：高速なハッシュを何千回も反復適用します。許容できる方式ですが、上記の方式より強度は低くなります。

ハッシュはパスワードだけでなく、完全性の確認にも使われます。HMAC（Hash-based Message Authentication Code）は、ハッシュと秘密鍵を組み合わせ、メッセージの完全性と真正性の両方を検証します。

ファイルのチェックサム（多くはSHA-256）を使うと、ダウンロードしたファイルが改ざんされていないことを確認できます。ハッカーとしては、チェックサムの不一致から、変更または悪意のあるファイルである可能性を見抜けます。

ハッカーとして活動していると、ハッシュには常に遭遇します。

• Linuxの/etc/shadowには、ソルト付きパスワードハッシュが保存されています。$6$（SHA-512）や$2b$（bcrypt）のような接頭辞が付きます。
• Windowsは、SAMデータベースにNTLMハッシュを保存します。
• Webアプリケーションは、ユーザーテーブルにハッシュ化したパスワードを保存します。

接頭辞を見れば、アルゴリズムとクラック方法をすぐに判断できます。

ユーザーパスワードの保存方法として、最も安全な選択肢を選んでください。

これでハッシュ化について理解できました。

• ハッシュ化は、エンコードや暗号化とは異なる、一方向かつ固定長で決定論的な変換です。
• MD5とSHA-1は安全性が破られているため、一般的な完全性の確認にはSHA-256を使用します。
• パスワードには、低速でソルト付きのアルゴリズムであるbcrypt、scrypt、Argon2を使用します。
• ソルトはレインボーテーブルを無効化し、HMACは鍵付きの完全性検証を追加します。

次は、AESとRSAを使った共通鍵暗号と公開鍵暗号について学びます。