Hash-Funktionen im Vergleich: MD5, SHA-1, SHA-256 und CRC32

Eine Hash-Funktion presst beliebige Eingaben in einen Fingerabdruck fester Größe: dieselbe Datei ergibt immer dieselbe Zeichenkette, während jede winzige Änderung lawinenartig in eine völlig andere umschlägt. Diese eine Eigenschaft dient drei sehr verschiedenen Aufgaben — Beschädigung erkennen, Inhalte fingerabdrucken und, mit zusätzlicher Maschinerie, Passwörter schützen.

1. Prüfsummen für Dateien: MD5, SHA-1, SHA-256

Download-Seiten veröffentlichen Prüfsummen, damit Sie bestätigen können, dass eine Datei intakt ankam: hashen Sie Ihre Kopie und vergleichen Sie die Zeichenketten. MD5 ist am schnellsten und für Zufallsbeschädigungs-Checks noch gut genug, SHA-1 liegt in der Mitte und SHA-256 ist der aktuelle Standard für alles, was zählt. Geschwindigkeitsunterschiede zeigen sich erst bei Dateien im Gigabyte-Bereich.

2. Für Sicherheit gebrochen, für Integrität gut genug

MD5 und SHA-1 sind gegen gezielte Angreifer zerbrochen — Forscher können zwei verschiedene Dateien mit demselben MD5 bauen, und SHA-1 fiel vor Jahren an eine praktische Kollision. Verwenden Sie sie also nie für Signaturen, Zertifikate oder Passwortspeicherung; aber ein Angreifer versteckt sich nicht in Ihrem Linux-ISO-Download, und zur reinen Beschädigungserkennung bleiben sie bestens geeignet.

3. Passwörter brauchen Langsamkeit, nicht Tempo

Schnelle Hashes sind das falsche Werkzeug für Passwörter, weil Angreifer Milliarden Vermutungen pro Sekunde versuchen können. Echte Passwortspeicherung nutzt langsame, gesalzene, speicherharte Funktionen, die für genau diesen Job gebaut sind. Wenn Ihnen ein Tutorial sagt, MD5 von Passwörtern zu speichern, schließen Sie dieses Tutorial.

4. CRC32 und HMAC, kurz

CRC32 ist gar kein kryptografischer Hash — es ist ein schneller fehlererkennender Code aus Netzwerk und ZIP-Dateien, großartig zum Aufspüren von Übertragungsstörungen und nutzlos gegen Fälschung. HMAC dagegen mischt einen geheimen Schlüssel in den Hash, sodass der Empfänger Integrität wie Authentizität prüfen kann. Probieren Sie all das an eigenem Text oder eigenen Dateien mit unserem Hash-Generator aus, der alles lokal in Ihrem Browser berechnet.