Générateur de Hash

SHA-1 produit un hachage de 160 bits (40 caractères hexadécimaux). C’était le standard de sécurité jusqu’au début des années 2010, mais il est désormais considéré comme cryptographiquement faible — des attaques par collision pratiques ont été démontrées en 2017. Ne l’utilisez pas pour des applications de sécurité. SHA-256 produit un hachage de 256 bits (64 caractères hexadécimaux), de la famille SHA-2. C’est le standard actuel pour les certificats TLS, la signature de code, les cryptomonnaies et la plupart des applications de sécurité. SHA-512 produit un hachage de 512 bits (128 caractères hexadécimaux), également SHA-2. Il est plus rapide que SHA-256 sur les processeurs 64 bits et offre une marge de sécurité plus large.

Non. Les fonctions de hachage cryptographiques sont conçues pour être à sens unique — il n’existe pas d’inverse mathématique. La seule façon de « casser » un hachage est la recherche exhaustive : essayer des entrées jusqu’à ce que l’une produise le même hachage. Pour des entrées courtes ou courantes (mots de passe courts, mots du dictionnaire), des tables arc-en-ciel précalculées rendent cela rapide. Pour des entrées longues et aléatoires, c’est calculatoirement infaisable avec le matériel actuel ou prévisible. C’est pourquoi le hachage convient au stockage de mots de passe — même si la base de données est volée, les mots de passe ne peuvent pas être récupérés à partir des hachages (à condition d’un salage correct).

Une collision survient lorsque deux entrées différentes produisent le même hachage. Comme les fonctions de hachage mappent une infinité d’entrées vers un espace de sortie fini, des collisions doivent théoriquement exister. La propriété de sécurité est la résistance aux collisions — rendre calculatoirement infaisable de trouver deux entrées quelconques avec le même hachage. La résistance aux collisions de SHA-1 est cassée. SHA-256 et SHA-512 sont actuellement considérés comme résistants aux collisions. Aucune collision dans SHA-256 n’a été trouvée ; les estimations suggèrent qu’elle exigerait des ressources de calcul dépassant la capacité de calcul mondiale actuelle.

L’effet avalanche est la propriété selon laquelle un petit changement de l’entrée produit une sortie radicalement différente. Dans SHA-256, modifier un seul caractère de l’entrée change environ la moitié des 256 bits de sortie. C’est une propriété de sécurité délibérément conçue — elle empêche toute relation entre des entrées similaires d’être visible dans leurs hachages, ce qui révélerait des informations sur l’entrée. Vous pouvez l’observer directement : hachez « Hello » et « hello » et comparez les sorties totalement différentes malgré une différence d’un caractère.

Les fonctions de hachage sont à sens unique par conception — vous ne pouvez pas déchiffrer un hachage pour récupérer les données d’origine. Le chiffrement est bidirectionnel : des données chiffrées avec une clé peuvent être déchiffrées avec la même clé ou une clé liée. Ils résolvent des problèmes différents : le hachage prouve l’intégrité des données et stocke les mots de passe de façon sûre (on vérifie en re-hachant et en comparant, pas en déchiffrant). Le chiffrement assure la confidentialité (les données elles-mêmes doivent être récupérables). Utiliser le hachage pour des données à récupérer plus tard est une erreur d’architecture — utilisez plutôt le chiffrement AES.

La réponse dépend entièrement de l’entropie de l’entrée. Un mot de passe de 6 caractères en minuscules (308 millions de possibilités) peut être cassé par force brute contre SHA-256 en quelques secondes sur du matériel moderne. Un mot du dictionnaire plus un chiffre prend des minutes. Un mot de passe aléatoire de 16 caractères (de notre générateur de mots de passe) a plus d’entrées possibles qu’il n’y a d’atomes dans l’univers observable — pratiquement impossible à casser par force brute. C’est pourquoi le hachage de mots de passe devrait utiliser bcrypt, Argon2 ou PBKDF2 — ces fonctions sont délibérément lentes, ce qui fait que les attaques par force brute prennent des milliers d’années même pour des mots de passe relativement courts.

HMAC (code d’authentification de message basé sur le hachage) combine une fonction de hachage avec une clé secrète pour produire un code d’authentification de message. Hachage SHA normal : hash(message) — n’importe qui peut le calculer. HMAC : hash(secret + message) — seules les parties disposant du secret peuvent le calculer ou le vérifier. HMAC-SHA256 sert à vérifier l’authenticité des webhooks (Stripe, GitHub), à signer des requêtes d’API (AWS Signature Version 4) et à authentifier les données dans les jetons de session. La clé secrète empêche un attaquant de forger un HMAC valide même s’il peut voir tous les messages et leurs MAC.