Was sind Hashes und wie funktionieren sie?

Ein Hash ist das Ergebnis einer kryptografischen Hashfunktion. Diese nimmt eine beliebig große Eingabe (z. B. eine Datei oder ein Passwort) und berechnet daraus eine Zeichenkette mit fester Länge. Hashfunktionen sind Einwegfunktionen, das bedeutet, der ursprüngliche Wert kann nicht aus dem Hash zurückberechnet werden.

Zum Beispiel erzeugt der Algorithmus SHA-256 (Secure Hash Algorithm 256) einen 256-Bit-Hash, der als 64 Zeichen lange Hexadezimalzeichenkette dargestellt wird.

Wozu werden Hashes verwendet?

• Speichern von Passwörtern: Statt Passwörter im Klartext zu speichern, wird ihr Hashwert gespeichert. Beim Anmeldevorgang wird das eingegebene Passwort erneut gehasht und mit dem gespeicherten Wert verglichen. Dadurch sieht ein Angreifer, der eine Datenbank stiehlt, nur die Hashes – nicht die echten Passwörter.
• Integritätsprüfung: Bereits eine minimale Änderung der Eingabe führt zu einem völlig anderen Hashwert (Avalanche-Effekt). Dies wird genutzt, um Dateien oder Nachrichten auf Manipulationen zu prüfen.
• Digitale Signaturen und Authentifizierung: Hashes werden in der Kryptographie verwendet, um Daten sicher zu verifizieren und Identitäten zu bestätigen.

Schwachstellen: Rainbow Tables und Hash-Kollisionen

Obwohl Hashes ein starkes Sicherheitsmerkmal sind, gibt es Angriffsmethoden wie Rainbow Tables. Dabei handelt es sich um vorberechnete Tabellen mit gängigen Passwörtern und deren Hashes. Ein Angreifer kann einen gestohlenen Hash mit diesen Tabellen abgleichen, um das ursprüngliche Passwort zu ermitteln. Besonders schwache oder häufig verwendete Passwörter (z. B. "123456") sind leicht zu knacken.

Um dies zu verhindern, wird ein Salt eingesetzt. Dabei wird vor dem Hashing eine zufällige Zeichenkette an das Passwort angehängt. Erhält jedes Konto ein eigenes Salt, ergeben gleiche Passwörter unterschiedliche Hashwerte. Ein individuelles, zufälliges Salt verhindert die Wiederverwendung vorberechneter Tabellen für viele Konten. Schwache Passwörter können trotzdem durch Ausprobieren gefunden werden.

Eine weitere potenzielle Schwäche sind Hash-Kollisionen. Dabei erzeugen zwei verschiedene Eingaben denselben Hash. Moderne Hashfunktionen wie SHA-256 sind so konzipiert, dass solche Kollisionen extrem unwahrscheinlich sind.