SHA-256 nedir? Hash, dosya bütünlüğü ve imza farkı

Hash ve şifreleme

Şifreleme anahtarla geri açılmak üzere tasarlanır. Hash sabit uzunluklu özet verir ve özgün girdiyi normalde geri üretmez.

Hash’i parola saklamak için tek başına kullanmak doğru değildir. Parola depolama için salt ve maliyet parametreli özel yöntemler gerekir.

Dosya bütünlüğü

Dosyanın SHA-256 değerini yayıncının paylaştığı değerle karşılaştırmak baytların aynı olup olmadığını kontrol eder.

Saldırgan dosyayı ve yanında sunulan hash’i birlikte değiştirirse özet tek başına kaynağı doğrulamaz. İmzalı yayın veya ayrı güvenilir kanal gerekir.

Dijital imza

Dijital imza anahtar çiftiyle oluşturulur ve doğrulanır. Doğru güven zinciri bütünlüğe ek olarak yayıncı kimliğine dair kanıt sağlayabilir.

İmzasız kurulumda SHA-256 yayıncıyı doğrulamaz. İmza bilgisini ve hash’i ayrı inceleyin.

Hash ve kişisel bilgi

Hash çıktısı otomatik olarak anonim değildir. Küçük değer kümesine sahip telefon veya yaygın parola denenerek tahmin edilebilir.

Gizli değer için amaca uygun keyed hash, tuzlama veya protokol seçin.

SHA-256 özeti nasıl yorumlanır?

SHA-256, farklı uzunluktaki girdiler için 256 bitlik bir özet üretir; yaygın metin gösterimi 64 onaltılık karakterdir. Aynı bayt girdisi aynı özeti vermelidir, bu yüzden dosya kopyası taşınırken içerik karşılaştırması için kullanışlıdır. Ancak hash dosyanın ne işe yaradığını, kimin yayımladığını veya güvenilir olup olmadığını kendi başına anlatmaz. Karşılaştırma yaparken iki tarafta da aynı dosya baytlarının ele alındığından emin olun; metin satır sonu dönüşümü, sıkıştırılmış arşiv veya farklı indirme varyantı hash’i değiştirir. Bir karakterlik içerik farkı bile başka bir özet üretir. Özet uzunluğu ve eşitliği dosyanın kaynak kimliğinin yerine geçmez.

Dosya indirmesini hash ile doğrulama

Yayıncının verdiği SHA-256 değerini, dosyayı indirdiğiniz dosyanın yerel özetiyle karakter karakter karşılaştırın. Harf büyüklüğü genellikle gösterim farkıdır; basamak, uzunluk ve bütün hexadecimal karakterler aynı olmalıdır. Windows PowerShell’de `Get-FileHash .\dosya.exe -Algorithm SHA256` komutu dosyanın özetini hesaplar. Değer uyuşmazsa dosyayı çalıştırmayın; indirme tamamlanmış mı, doğru sürüm mü ve güvenilir sayfadan alınmış mı kontrol edin. Yalnız aynı sitede dosyayla birlikte sunulan hash, site veya dosya hesabı ele geçirilmişse bağımsız kaynak sağlamaz. Güven zinciri için imzalı yayın, sertifika bilgisi veya ayrı güvenilir duyuru kanalı da önemlidir.

Hash ile parola saklama farkı

SHA-256 hızlı bir genel amaçlı hash işlevidir. Hızlı hesaplanması parola saklamada saldırganın çok sayıda tahmini düşük maliyetle denemesini kolaylaştırabilir. Parolaları saklamak için her parola için benzersiz salt kullanan, uygun maliyet parametreleri ayarlanabilen ve parola doğrulama için tasarlanmış bir algoritma tercih edin. Salt gizli olmak zorunda değildir; aynı parolaların aynı çıktıyı vermesini azaltır ve önceden hesaplanmış tabloların etkisini sınırlar. Bir gizli anahtarla HMAC gibi keyed hash kullanımı da farklı bir amaç taşır. Doğru seçim sistem gereksinimine bağlıdır; hash üretici çıktısını parola veritabanına koymak güvenli parola saklama tasarımı oluşturmaz.

Hash çakışması ve dijital imza

Hash fonksiyonları sonlu sayıda çıktı değerine sahip olduğu için farklı girdilerin aynı özeti vermesi kuramsal olarak mümkündür; güvenli algoritmalar bu tür çakışmaları pratikte bulmayı zorlaştıracak biçimde tasarlanır. Bütünlük kontrolü, beklediğiniz güvenilir özetle karşılaştırma yaptığınızda anlam taşır. Dijital imza hash’ten farklıdır: imza özel anahtarla oluşturulur ve uygun açık anahtar/güven zinciriyle doğrulanır. İmza, yayıncı kimliğine ilişkin kanıt sunabilir; sertifika durumu ve doğrulama süreci önemini korur. İmzasız bir kurulum dosyasının yanında verilen hash, tek başına yayıncı kimliğini kanıtlamaz. Yula sayfasındaki SHA-256’yı indirilen dosyayla karşılaştırın, sonra Windows imza bilgisini de ayrıca değerlendirin.

Örnek iş akışı: bir kurulum dosyasını kontrol etme

Kullanıcı kurulum dosyasını ürün sayfasından indirince yayınlanan SHA-256 değeriyle yerel dosya özetini karşılaştırır. Önce sürüm ve dosya adı doğru mu kontrol eder, sonra PowerShell’de Get-FileHash ile yerel özeti alır. Sonuç uzunluğu 64 hexadecimal karakter olmalı; bir basamak bile farklıysa dosyayı çalıştırmadan indirme kaynağını ve tamamlanma durumunu tekrar inceler. Eşleşme dosya baytlarının paylaşılan özetle uyumlu olduğunu gösterir, yayıncının kimliğini kanıtlamaz. Bu nedenle mümkünse imza sekmesindeki yayıncı adını ve sertifika zincirini de inceler. Dosya ile hash aynı değiştirilmiş kaynaktan geliyorsa doğrulama sınırlı kalır; bağımsız veya imzalı kanal güven zincirini güçlendirir. Özeti kopyalarken başında veya sonunda boşluk eklenmediğini, doğru sürümün değerini aldığınızı kontrol edin. Kurum içinde yayımlanan doğrulama komutunu ve beklenen sonucu açıklamak, kullanıcıların yalnız hash etiketine güvenmek yerine dosya üzerinde karşılaştırma yapmasını sağlar.