مولّد تجزئة SHA-256

ما هي خوارزمية SHA-256؟

SHA-256 هي العضو الأوسع استخدامًا في عائلة SHA-2، وقد صمّمتها وكالة الأمن القومي الأمريكية (NSA) واعتمدها NIST معيارًا عام 2002 في FIPS 180-2. وهي اليوم محددة في FIPS 180-4، ويقدّم RFC 6234 الخوارزميات نفسها مع شيفرة مرجعية. تعالج SHA-256 كتلًا من 512 بت في 64 جولة من العمليات الحسابية على 32 بت، وتُخرج ملخصًا بطول 256 بت: 64 حرفًا ست عشريًا أو 44 حرفًا بترميز Base64. ولا يُعرف أي هجوم عملي لإيجاد تصادم أو صورة أولية (preimage)، وهي الخيار الافتراضي في:

• شهادات TLS وعمليات المصافحة، وتوقيع الشيفرة البرمجية؛
• Bitcoin، الذي يطبّق SHA-256 مرتين لحساب تجزئات الكتل وإثبات العمل ومعرّفات المعاملات (ويأتي المجموع الاختباري في عناوين Base58Check من التجزئة المزدوجة نفسها)؛
• ملفات المجاميع الاختبارية مثل SHA256SUMS، وملخصات صور الحاويات (sha256:...)، وSubresource Integrity.

التحقق من ملف تم تنزيله

افتح الملف الذي نزّلته والصق المجموع الاختباري الذي نشره الناشر في حقل «المقارنة مع». لا يهم إن كانت الأحرف كبيرة أو صغيرة، وتصلح القيمة بترميز Base64 أيضًا. وتعني «متطابقة» أن الملف هو بايتًا ببايت الملف نفسه الذي حُسب منه المجموع الاختباري. لكن ذلك لا يثبت هوية من أنشأه، لذا خذ المجموع الاختباري من موقع الناشر عبر HTTPS أو من ملف SHA256SUMS موقّع، لا من الخادم المرآة الذي نزّلت منه الملف.

أما في النصوص، فالتجزئة تُحسب على البايتات لا على الأحرف. فكلٌّ من نهايات أسطر Windows (CRLF)، أو علامة ترتيب البايتات (BOM)، أو استخدام UTF-16 بدلًا من UTF-8 يُنتج قيمة SHA-256 مختلفة تمامًا. استخدم قائمة «ترميز النص» أو المدخلات الست عشرية لحساب تجزئة البايتات نفسها تمامًا التي حسب نظام آخر تجزئتها.

هجوم تمديد الطول وكلمات المرور

مثل MD5 وSHA-1 وSHA-512، فإن SHA-256 عرضة لهجوم تمديد الطول (length extension): فإذا عرف المهاجم قيمة SHA-256(secret + message) وطول السر، أمكنه حساب تجزئة صالحة لتلك الرسالة متبوعةً بالحشو وببيانات من اختياره، دون أن يعرف السر. ولتوقيع البيانات أو مصادقتها بمفتاح، استخدم HMAC-SHA256 من مولّد HMAC بدلًا من حساب تجزئة المفتاح والرسالة معًا.

والسرعة أيضًا هي ما يجعل SHA-256 العادية طريقة خاطئة لتخزين كلمات المرور: فكل من يحصل على قيم التجزئة يستطيع اختبار التخمينات بالسرعة التي تحسب بها بطاقاته الرسومية SHA-256، كما أن كلمات المرور المتطابقة تُنتج تجزئات متطابقة. استخدم Argon2id أو scrypt أو bcrypt أو PBKDF2-HMAC-SHA256 مع عدد تكرارات مرتفع، وكلها تضيف ملحًا (salt).

SHA-256 في سطر الأوامر وفي الشيفرة البرمجية

$ printf 'abc' | sha256sum
ba7816bf8f01cfea414140de5dae2223b00361a396177a9cb410ff61f20015ad  -

sha256sum -c SHA256SUMS                  # Linux: التحقق من قائمة ملفات
shasum -a 256 file.iso                   # macOS
certutil -hashfile file.iso SHA256       # Windows
Get-FileHash file.iso                    # PowerShell (الخوارزمية الافتراضية هي SHA256)

# Python
hashlib.sha256(data).hexdigest()

// Node.js
crypto.createHash('sha256').update(data).digest('hex')

القيمة الخاصة بـ abc هي متجه الاختبار الوارد في المعيار؛ اكتب abc في الأعلى لترى النتيجة نفسها. ويعرض جدول «جميع الخوارزميات» أيضًا قيم SHA-384 وSHA-512 وSHA-1 وMD5 وCRC لمدخلاتك.