Cara menggunakan
- Tempel satu hash. Hapus label seperti 0x, sha256=, atau sha384-, tetapi biarkan hash kata sandi tetap utuh, termasuk $, { atau * di awalnya.
- Baca hasilnya: bentuk yang terdeteksi dan ukurannya dalam bit, lalu algoritma yang mungkin, dengan kandidat teratas ditandai Paling mungkin. Faktor biaya bcrypt, atau jumlah putaran sha256crypt, sha512crypt, dan PBKDF2, ditampilkan jika string memuatnya.
- Untuk kandidat MD5, SHA-1, SHA-256, SHA-512, CRC-32, dan CRC-32C, tombol Buka alat membawa Anda ke kalkulator yang sesuai.
- Jika Anda mengetahui atau menduga teks aslinya, ketik teks tersebut di Periksa dengan teks untuk melihat algoritma mana yang menghasilkan hash yang sama.
Cara mengenali sebuah hash
Setiap algoritma hash memiliki ukuran keluaran yang tetap, dan hex menggunakan dua karakter per byte, sehingga panjang string hex adalah petunjuk terkuat. Alat ini juga memeriksa set karakter dan mencari awalan yang dicantumkan format hash kata sandi di bagian depan.
| Karakter hex | Bit | Algoritma umum |
|---|---|---|
| 8 | 32 | CRC-32, CRC-32C, dan Adler-32 |
| 32 | 128 | MD5, NTLM, dan MD4 |
| 40 | 160 | SHA-1 dan RIPEMD-160 |
| 56 | 224 | SHA-224 dan SHA3-224 |
| 64 | 256 | SHA-256, SHA3-256, BLAKE2s, dan Keccak-256 |
| 96 | 384 | SHA-384 dan SHA3-384 |
| 128 | 512 | SHA-512, SHA3-512, BLAKE2b, dan Whirlpool |
Panjang saja tidak cukup untuk memastikannya, karena hash yang baik terlihat seperti data acak dan tidak membawa penanda algoritmanya. Nilai 32 karakter bisa berupa MD5, MD4, atau NTLM, yang digunakan Windows untuk kata sandi akun (MD4 dari kata sandi dalam UTF-16LE). Karena itu, alat ini mengurutkan kandidat berdasarkan seberapa umum algoritmanya: MD5 lebih dulu, atau NTLM lebih dulu jika hash seluruhnya berhuruf besar, seperti yang dicetak oleh sebagian alat dumping kata sandi Windows. Demikian pula, Keccak-256 milik Ethereum dan SHA3-256 yang terstandardisasi hanya berbeda pada padding, tetapi keduanya sama-sama menghasilkan 64 karakter hex.
Digest Base64 dan format hash kata sandi
Sebagian sistem menulis digest dalam Base64, bukan hex: 24 karakter untuk 16 byte (MD5, seperti pada header Content-MD5), 28 untuk SHA-1, 44 untuk SHA-256, 64 untuk SHA-384 (seperti pada atribut Subresource Integrity), dan 88 untuk SHA-512. Alat ini mengubah panjang tersebut kembali menjadi byte dan menampilkan kandidat yang sama. Padding yang hilang dan karakter aman untuk URL tetap diterima, tetapi hapus terlebih dahulu awalan seperti sha384-.
Format hash kata sandi menjelaskan dirinya sendiri: sebuah awalan menyebutkan algoritmanya, dan salt serta pengaturan biaya ditulis di dalam string. Format modern menggunakan salt dan sengaja dibuat lambat; format LDAP dan MySQL di dua baris terakhir adalah konstruksi SHA-1 yang cepat, dan hanya {SSHA} yang menambahkan salt.
| Diawali dengan | Format | Biasa ditemukan di |
|---|---|---|
$2a$, $2b$, $2y$ | bcrypt, selalu 60 karakter; dua digit berikutnya adalah faktor biaya, dan setiap kenaikan satu angka menggandakan beban kerja | Framework web, PHP password_hash() |
$argon2id$ | Argon2id dengan pengaturan memori (m), waktu (t), dan paralelisme (p) | Aplikasi modern; direkomendasikan oleh OWASP |
$6$, $5$ | sha512crypt, sha256crypt, dengan rounds= opsional | /etc/shadow di Linux |
$y$ | yescrypt | /etc/shadow di banyak distribusi Linux saat ini |
$1$, $apr1$ | md5crypt, Apache MD5 | Sistem Unix lama, .htpasswd |
pbkdf2_sha256$ | PBKDF2-SHA256 beserta jumlah iterasinya | Django |
{SHA}, {SSHA} | SHA-1, SHA-1 dengan salt | Direktori LDAP |
* dan 40 digit hex | MySQL 4.1+ PASSWORD() | Tabel pengguna MySQL |
Mengidentifikasi tidak sama dengan memecahkan
Hash bersifat satu arah. Pengidentifikasi ini hanya melihat bentuk string: alat ini tidak dapat mengungkap, mendekripsi, atau mencari masukan aslinya, dan tidak mengirim apa pun ke server atau basis data online. Satu-satunya cara menemukan masukan adalah menebak kandidat dan meng-hash-nya satu per satu, dan itulah yang dilakukan alat pemulihan kata sandi, misalnya hashcat dan John the Ripper, setelah mengetahui algoritmanya. Format lambat yang menggunakan salt seperti bcrypt dan Argon2 dibuat agar tebakan semacam itu mahal. Hanya uji hash yang memang berhak Anda tangani.
Periksa dengan teks menguji satu tebakan tertentu. Fitur ini meng-hash teks yang Anda ketik, sebagai UTF-8, dengan MD5, SHA-1, SHA-256, SHA-384, SHA-512, CRC-32, dan CRC-32C, lalu memberi tahu hasil mana yang sama dengan hash tersebut, baik yang ditulis dalam hex huruf besar atau kecil maupun dalam Base64. Fitur ini tidak dapat mengonfirmasi hash kata sandi yang menggunakan salt atau HMAC, karena keduanya juga bergantung pada salt atau kunci rahasia; untuk nilai berkunci, gunakan generator HMAC beserta kuncinya.
Pertanyaan yang sering diajukan
Bisakah alat ini memberi tahu teks atau kata sandi aslinya?
Tidak. Alat ini hanya menyebutkan algoritma yang paling mungkin. Fungsi hash tidak dapat dibalik; "hash decrypter" online mencari nilai tersebut di tabel berisi hash dari kata-kata umum dan kata sandi yang bocor, yang hanya berhasil untuk masukan lemah tanpa salt.
Mengapa ada beberapa algoritma yang tercantum untuk satu hash?
Algoritma dengan ukuran keluaran yang sama menghasilkan string dengan panjang dan set karakter yang sama, dan tidak ada apa pun di dalam hash yang mencatat algoritma mana yang digunakan. Kandidat yang paling mungkin ditandai dan ditampilkan lebih dulu, berdasarkan seberapa umum setiap algoritma. Untuk memastikannya, hitung ulang hash dari masukan yang diketahui.
Apakah string hex 32 karakter selalu MD5?
Biasanya, tetapi tidak selalu. NTLM, MD4, MD2, dan RIPEMD-128 menghasilkan panjang yang sama, begitu pula nilai 128 bit apa pun yang ditulis dalam hex, seperti UUID tanpa tanda hubung atau token acak. Konteks yang menentukan: hash kata sandi Windows berarti NTLM, sedangkan checksum file berarti MD5.
Mengapa Periksa dengan teks tidak menemukan kecocokan?
echo menambahkannya kecuali Anda menggunakan echo -n atau printf), spasi atau huruf besar-kecil yang berbeda, teks yang di-hash dalam pengodean selain UTF-8, adanya salt atau kunci seperti pada hash kata sandi dan HMAC, atau algoritma yang tidak dicakup pemeriksaan ini, seperti SHA-3, BLAKE2, atau NTLM.Apakah aman menempelkan hash kata sandi di sini?
Analisis berjalan sepenuhnya di browser Anda dan hash tidak dikirim maupun disimpan. Namun, hash kata sandi dari sistem sungguhan memungkinkan siapa pun yang memilikinya mencoba tebakan secara offline, jadi perlakukan hash semacam itu sebagai data sensitif dan jangan sertakan dalam tiket, chat, atau tangkapan layar.