Hash-Generator — MD5, SHA-1, SHA-256, SHA-512, CRC32 und HMAC

Ja. Wähle im Tab „Datei“ bis zu 500 Dateien gemeinsam aus oder lege sie zusammen ab. Sie werden nacheinander mit den angehakten Algorithmen gehasht, jede in Blöcken zu 4 MB gelesen, damit der Speicherbedarf niedrig bleibt, und eine Datei, die sich nicht lesen lässt, wird als fehlgeschlagen markiert, ohne den Rest aufzuhalten. Lade die Ergebnisse als .txt im GNU-coreutils-Format herunter (wie die Ausgabe von sha256sum, md5sum oder sha512sum, sodass sha256sum -c sie prüfen kann) oder als CSV mit allen Algorithmen. Du kannst auch eine vorhandene SHA256SUMS-Liste einfügen, um jede Datei damit abzugleichen.

Ja. Setze im Tab „Text“ das Häkchen bei „Jede Zeile einzeln hashen“. Jede Zeile wird für sich als UTF-8 gehasht, ohne ihren Zeilenumbruch, für bis zu 5.000 Zeilen, und die Tabelle lässt sich als tabulatorgetrennter Text kopieren oder als CSV herunterladen.

Es sind Hash-Funktionen mit unterschiedlicher Ausgabelänge und Sicherheit. MD5 erzeugt 128 Bit und SHA-1 160 Bit; beide sind für Sicherheitszwecke gebrochen, weil Forscher zwei unterschiedliche Eingaben mit demselben Hash erzeugen können (MD5 seit 2004, SHA-1 öffentlich seit dem SHAttered-Angriff 2017). SHA-256 erzeugt 256 Bit, und es ist kein praktikabler Angriff bekannt. Nimm für alles Sicherheitsrelevante SHA-256 oder SHA-512; MD5 und SHA-1 taugen weiterhin, um versehentliche Beschädigungen zu erkennen.

Öffne den Tab „Datei“, lege die heruntergeladene Datei ab und füge die Prüfsumme von der Download-Seite in das Vergleichsfeld ein. Eine Übereinstimmung bedeutet, dass deine Datei Byte für Byte die ist, die der Herausgeber gehasht hat. Achte darauf, Gleiches mit Gleichem zu vergleichen: Eine SHA-256-Prüfsumme hat 64 Hex-Zeichen, SHA-1 hat 40 und MD5 32. Für echte Sicherheit hol dir die Prüfsumme per HTTPS von der offiziellen Website, nicht vom selben Mirror wie die Datei.

Nein. Ein Hash ist eine Einwegfunktion: Es gibt keinen Schlüssel und nichts zu entschlüsseln. Was Websites zum „MD5 entschlüsseln“ tatsächlich tun, ist, den Hash in Tabellen mit zuvor gehashten gängigen Strings nachzuschlagen. Deshalb ist der Hash eines kurzen oder gängigen Passworts leicht zu finden, und deshalb müssen Passwörter mit einem langsamen, gesalzenen Algorithmus wie bcrypt oder Argon2 gespeichert werden, nie mit einem einfachen SHA-256.

Die Eingabebytes unterscheiden sich, meist unsichtbar. Häufige Ursachen sind ein abschließender Zeilenumbruch (echo fügt einen hinzu; nimm echo -n), Windows-Zeilenenden CRLF statt LF, eine andere Textkodierung als UTF-8, Leerzeichen am Anfang oder Ende oder der Vergleich eines Hex-Digests mit einem Base64-Digest. Hashes ändern sich schon bei einem einzigen abweichenden Byte komplett – prüfe also die Byteanzahl unter dem Textfeld.

HMAC (RFC 2104) kombiniert einen geheimen Schlüssel mit einer Hash-Funktion zu einer Signatur, die nur jemand mit dem Schlüssel erzeugen kann. Webhook-Anbieter wie Stripe, GitHub und Shopify signieren ihre Payloads mit HMAC-SHA256, damit du prüfen kannst, ob eine Anfrage wirklich von ihnen stammt. Bau das nicht selbst als sha256(key + message): Mit SHA-256 ist diese Konstruktion anfällig für Length-Extension-Angriffe, und genau die soll HMAC verhindern.

Es ist eine Prüfsumme, kein kryptografischer Hash. CRC32 ist sehr schnell und gut darin, versehentliche Fehler wie ein gekipptes Bit bei der Übertragung zu erkennen – deshalb verwenden ZIP, gzip, PNG und Ethernet es. Absichtlich zu fälschen ist es trivial, verwende es also nie, um zu beweisen, dass eine Datei nicht manipuliert wurde.