Идентификатор шифрования

Какие форматы распознаёт идентификатор

Шестнадцатеричные хеши распознаются по длине (регистр букв не важен):

Например, d63dc919e201d7bc4c825630d2cf25fdc93d4b2f0d46706d29038d01 содержит 56 символов: это хеш SHA-224 от слова «password».

Хеши паролей распознаются по префиксу и структуре:

• $2a$, $2b$, $2y$: bcrypt, фактор стоимости считывается из префикса
• $1$: md5crypt; $apr1$: Apache MD5 (htpasswd)
• $5$ и $6$: sha256crypt и sha512crypt
• $y$: yescrypt; $7$ и $scrypt$: scrypt
• $argon2id$, $argon2i$, $argon2d$: Argon2
• $pbkdf2-sha256$ (passlib) и pbkdf2_sha256$ (Django): PBKDF2
• $P$ и $H$: phpass (WordPress, phpBB); $S$: Drupal 7
• * и следом 40 шестнадцатеричных символов: MySQL 4.1+
• {SSHA}, {SHA} и другие распространённые схемы LDAP

В типичных случаях результат также показывает режим hashcat (-m): MD5 0, NTLM 1000, SHA-1 100, SHA-256 1400, SHA-512 1700, bcrypt 3200, md5crypt 500, sha256crypt 7400, sha512crypt 1800, phpass 400, Drupal 7 7900, MySQL 4.1+ 300 и Django PBKDF2-SHA256 10000.

Ключи, токены и идентификаторы:

• Блоки PEM (-----BEGIN ...-----): закрытые ключи (RSA, EC, OpenSSH, PKCS #8), защищённые паролем закрытые ключи, открытые ключи, сертификаты X.509 и запросы на подпись сертификата
• Текстовые блоки OpenPGP (ASCII armor): зашифрованные сообщения (BEGIN PGP MESSAGE), блоки ключей и подписи
• Открытые ключи OpenSSH (ssh-rsa, ssh-ed25519, ecdsa-sha2-...)
• JSON Web Token: заголовок декодируется, чтобы показать alg и typ, а токен из пяти частей с полем enc распознаётся как зашифрованный JWE
• UUID с указанием версии (это идентификатор, а не хеш)

Кодировки, только если не подошло ничего более конкретного:

• Hex, Base32, Base64 и Base64url с длиной в байтах после декодирования, а также URL-кодирование (процентное).
• Данные hex или Base64, длина которых после декодирования кратна 16 байтам, могут быть результатом работы блочного шифра, например AES; при длине 128, 256, 384 или 512 байт это также могут быть данные, зашифрованные RSA, или подпись. Данные Base64 или Base32 длиной 16, 20, 28, 32, 48 или 64 байта могут быть двоичным хешем MD5, SHA-1 или SHA-2.

Что идентификация не может определить

• Точный алгоритм со стопроцентной уверенностью. Строка из 64 шестнадцатеричных символов определяется как SHA-256 или SHA3-256, но BLAKE2s и другие 256-битные хеши выглядят точно так же. У хешей MD5, MD4 и NTLM одинаковая длина: 32 шестнадцатеричных символа.
• Каким шифром зашифрованы данные. Зашифрованные данные выглядят случайными. Длина лишь сужает круг вариантов, поэтому AES или RSA всегда остаются только возможностью, а не уверенностью.
• Стойкость ключа. Хеш bcrypt показывает в префиксе фактор стоимости ($2y$10$ = стоимость 10), но не стойкость самого пароля.
• Использована ли соль. Современные хеши паролей (bcrypt, Argon2) всегда с солью; старые (простые MD5/SHA) могут быть как с солью, так и без неё.
• Открытый текст. Идентификация не обращает хеш; взлом является отдельным процессом и законен только для ваших собственных данных.

Когда идентификатор ошибается

• Токены с собственным префиксом. Приложения иногда оборачивают хеш собственным префиксом; сначала снимите обёртку.
• Двойное кодирование. Двоичный хеш, записанный в hex и затем обёрнутый в Base64, будет определён неверно. Декодируйте его один раз и проверьте снова.
• Необычная длина. Усечённые хеши (например, первые 16 символов SHA-256, используемые как идентификатор) определяются как обычные шестнадцатеричные данные, потому что такая длина не совпадает ни с одним хешем из таблицы выше.
• Несколько значений сразу. Проверяется одно значение. Если вставить список хешей, будет проверена только первая строка; остальные вставляйте по одному.

Сценарии использования

• Аудиты безопасности: инвентаризация типов хешей по всей кодовой базе перед миграцией криптографии.
• Задачи CTF: быстрый первый проход по неизвестному фрагменту.
• Реагирование на инциденты: определение формата утёкших учётных данных.
• Отладка фреймворков: выяснение того, какую кодировку выдаёт библиотека.

Напоминание об этике

Определение формата хеша это пассивное исследование. Взлом чужого хеша без разрешения нарушает законы о неправомерном использовании компьютеров в большинстве юрисдикций. Работайте только с хешами, которые принадлежат вам или которые вы уполномочены анализировать.