Hash-Generator (MD5, SHA)

Geheimnisse sicher behandeln

Entwicklerwerkzeuge verarbeiten öfter Zugangsdaten, als den Leuten bewusst ist, und das Risiko liegt nicht im Algorithmus, sondern darin, wohin die Daten gehen. Hashing ist einweg und keine Verschlüsselung – MD5 und SHA-1 sind für alles Sicherheitsrelevante gebrochen, und selbst SHA-256 ist das falsche Werkzeug zum Speichern von Passwörtern, wofür bcrypt, scrypt oder Argon2 genau deshalb existieren, weil sie langsam sind. Base64 ist eine Kodierung, kein Schutz: Jeder kann sie dekodieren, behandeln Sie sie also nie als Verschleierung. Ein JWT kann von jedem gelesen werden, der es besitzt, weshalb die Nutzlast niemals Geheimnisse enthalten darf, und das Dekodieren eines Tokens prüft nicht seine Signatur – die Prüfung erfordert den Schlüssel. Alles auf dieser Seite läuft lokal in Ihrem Browser, und genau deshalb kann sie überhaupt sicher mit Tokens und Passwörtern umgehen.

Wo Konvertierungen stillschweigend kaputtgehen

Die meisten Konvertierungsfehler drehen sich nicht um Syntax, sondern um Bedeutung. Eine CSV-Spalte mit Postleitzahlen verliert ihre führenden Nullen in dem Moment, in dem eine Tabellenkalkulation sie für eine Zahl hält; eine lange ID überschreitet die Gleitkommapräzision; Datumsangaben ändern ihre Bedeutung, je nachdem, ob der Tag oder der Monat zuerst kommt. JSON-Schlüssel sind ungeordnet, Arrays aber nicht, und ein Werkzeug, das Schlüssel sortiert, ändert nichts, während eines, das Arrays sortiert, die Daten verändert. Unicode ist eine weitere Falle: Text kann als UTF-8, als UTF-16 oder mit BOM ankommen, und ein Decoder, der falsch rät, macht aus akzentuierten Zeichen Mojibake. Bevor Sie einer Konvertierung trauen, prüfen Sie stichprobenartig die erste und letzte Zeile, jedes Feld mit führenden Nullen und jedes Feld mit Anführungszeichen, Kommas oder Zeilenumbrüchen.