CRC32-Prüfsummenrechner

Was eine CRC32-Prüfsumme ist

Eine zyklische Redundanzprüfung (Cyclic Redundancy Check, CRC) behandelt die Eingabe als ein langes binäres Polynom, dividiert es durch ein festes Generatorpolynom und behält den Rest. Bei CRC-32 hat dieser Rest 32 Bit und wird meist als 8 Hex-Ziffern oder als vorzeichenlose Zahl von 0 bis 4.294.967.295 geschrieben. Nahezu jede Änderung an den Daten verändert den Rest.

CRCs sind für die Fehler ausgelegt, die echte Kabel, Funkverbindungen und Datenträger verursachen. CRC-32 erkennt jeden Bündelfehler mit einer Länge von bis zu 32 Bit, und eine zufällige Beschädigung bleibt nur in etwa einem von 4,3 Milliarden Fällen unentdeckt. Zudem lässt sich CRC-32 sehr schnell berechnen, weshalb das Verfahren in ZIP, gzip, PNG und Ethernet-Frames eingebaut ist.

CRC-32 und CRC-32C

Beide beginnen mit 0xFFFFFFFF, verarbeiten die Bits jedes Bytes beginnend mit dem niederwertigsten und invertieren den Endwert; nur das Polynom unterscheidet sich, sodass dieselben Daten zwei voneinander unabhängige Ergebnisse liefern. Die erste Variante ist das, was die meisten Tools mit „CRC32“ meinen, und ist als CRC-32/ISO-HDLC katalogisiert. CRC-32C wurde später wegen seiner stärkeren Fehlererkennung von Speicher- und Netzwerkprotokollen übernommen. Google Cloud Storage gibt CRC-32C und Amazon S3 eine der beiden Varianten als Base64 der vier Bytes in Big-Endian-Reihenfolge an. Genau das zeigt die Ausgabe als „Base64“.

Eine Prüfsumme, keine Sicherheitsprüfung

Eine CRC schützt vor versehentlichen Fehlern, nicht vor Angriffen. Sie ist eine lineare Funktion, daher kann jeder eine Datei verändern und anschließend vier Bytes so anpassen, dass ihre CRC-32 unverändert bleibt. Eine übereinstimmende CRC schließt eine absichtliche Manipulation daher nicht aus. Um einen Download zu prüfen, vergleichen Sie einen SHA-256-Hashwert aus vertrauenswürdiger Quelle; um nachzuweisen, wer eine Nachricht gesendet hat, verwenden Sie einen HMAC.

32 Bit sind außerdem zu wenig, um Daten zu identifizieren. Schon bei etwa 77.000 zufälligen Dateien liegt die Wahrscheinlichkeit, dass zwei davon dieselbe CRC-32 haben, bei 50 %. Verwenden Sie sie daher weder als eindeutige ID noch als Schlüssel für die Deduplizierung. Wo kein Angreifer im Spiel ist, sind MD5 oder SHA-256 weit bessere Fingerabdrücke.

CRC32 im Code

# Python: zlib.crc32 ist in Python 3 vorzeichenlos;
# "& 0xffffffff" wird nur für Python 2 benötigt
import zlib
format(zlib.crc32(b'123456789'), '08x')    # 'cbf43926'

// Node.js 20.15+ und 22.2+
require('zlib').crc32('123456789').toString(16).padStart(8, '0')   // 'cbf43926'

// Go (import "hash/crc32")
crc32.ChecksumIEEE(data)                                   // CRC-32
crc32.Checksum(data, crc32.MakeTable(crc32.Castagnoli))    // CRC-32C

// Java: java.util.zip.CRC32 und seit Java 9 java.util.zip.CRC32C

// PHP
sprintf('%08x', crc32('123456789'));   // 'cbf43926'
hash('crc32b', '123456789');           // 'cbf43926', dieselbe CRC-32
hash('crc32c', '123456789');           // 'e3069283'
hash('crc32', '123456789');            // '181989fc', eine andere CRC

Achten Sie in PHP auf die Namen: Der Hash-Algorithmus namens crc32 ist nicht die ZIP-Prüfsumme, sondern die CRC von bzip2, ausgegeben in umgekehrter Byte-Reihenfolge. Verwenden Sie crc32b oder die Funktion crc32(), um dieselben Werte wie ZIP, gzip und dieses Tool zu erhalten. Der Unix-Befehl cksum verwendet wiederum eine andere Variante, die zusätzlich die Dateilänge einrechnet, sodass auch sein Ergebnis nicht übereinstimmt.