Cryptographic Hash คืออะไร?

พื้นฐานของอัลกอริทึมการเข้ารหัสนั้นค่อนข้างเข้าใจง่าย ข้อมูลเข้าหรือข้อความธรรมดาถูกนำมาพร้อมกับคีย์และประมวลผลโดยอัลกอริทึม เอาต์พุตถูกเข้ารหัสและเรียกว่าไซเฟอร์เท็กซ์ ส่วนสำคัญของอัลกอริทึมการเข้ารหัสคือคุณสามารถย้อนกลับกระบวนการได้ หากคุณมีข้อความเข้ารหัสและคีย์ถอดรหัส คุณสามารถเรียกใช้อัลกอริทึมอีกครั้งและรับข้อความธรรมดากลับมาได้ อัลกอริธึมการเข้ารหัสบางประเภทต้องการคีย์เดียวกันเพื่อใช้ในการเข้ารหัสและถอดรหัสข้อมูล อื่น ๆ ต้องใช้คู่ของคีย์ หนึ่งเพื่อเข้ารหัส และอีกอันเพื่อถอดรหัส

แนวคิดของอัลกอริทึมการแฮชนั้นเกี่ยวข้องกัน แต่มีความแตกต่างที่สำคัญบางประการ ความแตกต่างที่สำคัญที่สุดคือความจริงที่ว่าอัลกอริทึมการแฮชเป็นฟังก์ชันแบบทางเดียว คุณใส่ข้อความธรรมดาลงในฟังก์ชันแฮชและรับแฮชไดเจสต์ออกมา แต่ไม่มีทางที่จะเปลี่ยนแฮชไดเจสต์นั้นกลับเป็นข้อความธรรมดาดั้งเดิมได้

หมายเหตุ: ผลลัพธ์ของฟังก์ชันแฮชเรียกว่าแฮชไดเจสต์ ไม่ใช่ไซเฟอร์เท็กซ์ คำว่าแฮชไดเจสต์มักจะย่อเป็น "แฮช" แม้ว่าบางครั้งการใช้คำดังกล่าวอาจขาดความชัดเจน ตัวอย่างเช่น ในกระบวนการตรวจสอบสิทธิ์ คุณสร้างแฮชและเปรียบเทียบกับแฮชที่จัดเก็บไว้ในฐานข้อมูล

คุณสมบัติที่สำคัญอีกประการของฟังก์ชันแฮชคือไดเจสต์แฮชจะเหมือนกันเสมอหากคุณป้อนข้อความธรรมดาเดียวกัน นอกจากนี้ หากคุณทำการเปลี่ยนแปลงข้อความธรรมดาแม้เพียงเล็กน้อย ผลลัพธ์ของแฮชไดเจสต์จะแตกต่างไปจากเดิมอย่างสิ้นเชิง การรวมกันของคุณสมบัติทั้งสองนี้ทำให้อัลกอริทึมการแฮชมีประโยชน์ในการเข้ารหัส การใช้งานทั่วไปคือรหัสผ่าน

อัลกอริทึมการแฮชรหัสผ่าน

เมื่อคุณลงชื่อเข้าใช้เว็บไซต์ คุณต้องระบุชื่อผู้ใช้และรหัสผ่านของคุณ ที่ระดับพื้นผิว เว็บไซต์จะตรวจสอบว่ารายละเอียดที่คุณป้อนตรงกับรายละเอียดที่มีอยู่ในไฟล์ กระบวนการนี้ไม่ง่ายเลย

การละเมิดข้อมูลเป็นเรื่องปกติ มีความเป็นไปได้ค่อนข้างมากที่คุณจะได้รับผลกระทบจากการละเมิดข้อมูล ข้อมูลลูกค้าเป็นหนึ่งในเป้าหมายใหญ่ของการละเมิดข้อมูล รายชื่อผู้ใช้และรหัสผ่านสามารถแลกเปลี่ยนและขายได้ เพื่อทำให้กระบวนการทั้งหมดยากขึ้นสำหรับแฮ็กเกอร์ โดยทั่วไปแล้วเว็บไซต์จะเรียกใช้รหัสผ่านทุกรหัสผ่านผ่านอัลกอริทึมการแฮช และเก็บเฉพาะแฮชของรหัสผ่าน แทนที่จะเก็บรหัสผ่านจริง

สิ่งนี้ใช้ได้เพราะเมื่อผู้ใช้พยายามตรวจสอบสิทธิ์ เว็บไซต์ยังสามารถแฮชรหัสผ่านที่ส่งมาและเปรียบเทียบกับแฮชที่เก็บไว้ หากตรงกัน ระบบจะรู้ว่ามีการส่งรหัสผ่านเดียวกันแม้ว่าจะไม่รู้ว่ารหัสผ่านที่แท้จริงคืออะไร นอกจากนี้ หากฐานข้อมูลที่มีแฮชรหัสผ่านที่เก็บไว้ในนั้นถูกแฮ็กเกอร์เจาะ พวกเขาจะไม่สามารถดูได้ทันทีว่ารหัสผ่านจริงคืออะไร

แฮชที่แข็งแกร่ง

หากแฮ็กเกอร์สามารถเข้าถึงแฮชรหัสผ่านได้ พวกเขาจะทำอะไรกับแฮชไม่ได้มากนักในทันที ไม่มีฟังก์ชันย้อนกลับในการถอดรหัสแฮชและดูรหัสผ่านเดิม พวกเขาต้องพยายามถอดรหัสแฮชแทน โดยพื้นฐานแล้วเกี่ยวข้องกับกระบวนการบังคับอย่างดุร้ายในการเดารหัสผ่านจำนวนมากและดูว่ามีแฮชใดตรงกับที่เก็บไว้ในฐานข้อมูลหรือไม่

มีสองประเด็นเมื่อพูดถึงความแข็งแกร่งของแฮช ความแข็งแกร่งของฟังก์ชันการแฮชและความแข็งแกร่งของรหัสผ่านที่ถูกแฮช สมมติว่ามีการใช้รหัสผ่านที่รัดกุมและอัลกอริธึมการแฮช แฮ็กเกอร์ควรลองใช้รหัสผ่านให้เพียงพอเพื่อคำนวณ 50% ของพื้นที่เอาต์พุตแฮชทั้งหมด เพื่อให้มีโอกาส 50/50 ในการถอดรหัสแฮชเดี่ยวๆ

ปริมาณของการประมวลผลสามารถลดลงอย่างมากหากอัลกอริทึมการแฮชมีจุดอ่อนในนั้น ซึ่งอาจทำให้ข้อมูลรั่วไหลหรือมีโอกาสเพิ่มขึ้นที่จะมีแฮชเดียวกันโดยไม่ได้ตั้งใจ ซึ่งเรียกว่าการชนกัน

การโจมตีแบบเดรัจฉานอาจทำได้ช้าเนื่องจากมีรหัสผ่านที่เป็นไปได้จำนวนมากให้ลองใช้ น่าเสียดายที่ผู้คนมักจะคาดการณ์ได้ค่อนข้างดีเมื่อคิดรหัสผ่าน ซึ่งหมายความว่าสามารถคาดเดาอย่างมีความรู้โดยใช้รายการรหัสผ่านที่ใช้กันทั่วไป หากคุณเลือกรหัสผ่านที่ไม่รัดกุม รหัสผ่านนั้นอาจคาดเดาได้เร็วกว่า 50% ของเส้นทางที่ตัวเลขพื้นที่เอาต์พุตแฮชแนะนำ

ด้วยเหตุนี้จึงเป็นสิ่งสำคัญที่ต้องใช้รหัสผ่านที่รัดกุม หากการแฮชรหัสผ่านของคุณเกี่ยวข้องกับการละเมิดข้อมูล ไม่สำคัญว่าเว็บไซต์จะใช้อัลกอริธึมการแฮชที่ดีที่สุดเท่าที่จะเป็นไปได้และปลอดภัยที่สุดหรือไม่ หากรหัสผ่านของคุณคือ “รหัสผ่าน1” ก็จะยังเดาได้แทบจะทันที

บทสรุป

อัลกอริทึมการแฮชเป็นฟังก์ชันแบบทางเดียว มันสร้างเอาต์พุตเดียวกันเสมอหากมีอินพุตเดียวกัน แม้แต่ความแตกต่างเล็กน้อยของอินพุตก็เปลี่ยนเอาต์พุตได้อย่างมีนัยสำคัญ หมายความว่าคุณไม่สามารถบอกได้ว่าคุณใกล้เคียงกับอินพุตที่ถูกต้องหรือไม่ ฟังก์ชันแฮชไม่สามารถย้อนกลับได้ ไม่มีทางที่จะบอกได้ว่าอินพุตใดถูกใช้เพื่อสร้างเอาต์พุตใดๆ โดยไม่ต้องเดา ฟังก์ชันแฮชการเข้ารหัสมีความปลอดภัยในการเข้ารหัสและเหมาะสำหรับการใช้งานที่ต้องการความปลอดภัยประเภทนั้น กรณีการใช้งานทั่วไปคือการแฮชรหัสผ่าน กรณีการใช้งานอื่นๆ ได้แก่ การแฮชไฟล์เป็นการตรวจสอบความสมบูรณ์