Identyfikator szyfrowania

Wzorce sygnatur używane przez identyfikator

Na podstawie długości (dla haszów kodowanych szesnastkowo):

Inne długości, jak SHA-224 (56 znaków szesnastkowych) czy SHA-384 (96), nie są rozpoznawane jako hasze (ciąg hex o 56 lub 96 znakach zostanie zaklasyfikowany jako Base64).

Na podstawie prefiksu (rozpoznawane są tylko prefiksy bcrypt):

• $2a$ $2b$ $2y$ bcrypt

Inne prefiksy w stylu crypt ($1$, $5$, $6$, $argon2i$, $argon2id$, $pbkdf2$) nie są rozpoznawane.

Na podstawie kodowania:

• Wszystkie znaki należą do [A-Za-z0-9+/=], a długość jest wielokrotnością 4: prawdopodobnie Base64.
• Trzy segmenty rozdzielone kropką ., każdy złożony ze znaków [A-Za-z0-9_-]: JWT.

Otoczki PEM, bloby OpenSSH ssh-rsa/ssh-ed25519 oraz ciągi Base64url zawierające - lub _ nie są wykrywane.

Czego identyfikacja nie jest w stanie ustalić

• Dokładnego algorytmu ze 100% pewnością. Ciąg 64 znaków szesnastkowych jest raportowany jako SHA-256, ale może być też SHA3-256 albo BLAKE2s; na podstawie samego szyfrogramu nie da się ich odróżnić. Hasze NTLM (również 32 znaki hex) wyglądają identycznie jak MD5.
• Siły klucza. Hasz bcrypt pokazuje w prefiksie współczynnik kosztu ($2y$10$ = koszt 10), ale nie siłę samego hasła.
• Czy zastosowano sól. Nowoczesne hasze haseł (bcrypt, Argon2) zawsze są solone; stare (surowe MD5/SHA) mogą być, ale nie muszą.
• Tekstu jawnego. Identyfikacja nie odwraca hasza; łamanie to osobny proces, dozwolony wyłącznie na własnych danych.

Kiedy identyfikator się myli

• Tokeny z własnym prefiksem. Aplikacje czasem opakowują hasz własnym prefiksem; najpierw usuń tę otoczkę.
• Podwójne kodowanie. Binarny hasz zapisany szesnastkowo, a następnie opakowany w Base64, zostanie błędnie rozpoznany. Spróbuj raz zdekodować i uruchomić ponownie.
• Nietypowe długości. Skrócone hasze (np. pierwsze 16 znaków SHA-256 użyte jako identyfikator) są wyświetlane jako “Base64”, ponieważ reguły dotyczące znaków i długości nakładają się na siebie.
• Formaty w ramce lub otoczce. Bloki PEM, klucze OpenSSH i format pbkdf2_sha256$... z Django nie są rozpoznawane; usuń otoczkę lub prefiks i spróbuj ponownie, albo użyj dedykowanego parsera.

Przykłady zastosowań

• Audyty bezpieczeństwa: katalogowanie typów haszów w całej bazie kodu przed migracją kryptografii.
• Wyzwania CTF: szybki pierwszy rzut oka na nieznany fragment danych.
• Reagowanie na incydenty: identyfikacja formatu wyciekłych danych uwierzytelniających.
• Debugowanie frameworków: ustalenie, jakie kodowanie generuje dana biblioteka.

Przypomnienie o etyce

Identyfikacja formatu hasza to badanie pasywne. Łamanie cudzego hasza bez upoważnienia narusza przepisy o nadużyciach komputerowych w większości jurysdykcji. Pracuj wyłącznie na haszach, które należą do ciebie lub które masz prawo analizować.