Хеш-функция SHA-256¶

SHA-256 — это криптографическая хеш-функция, относящаяся к семейству SHA-2 (Secure Hash Algorithm 2), которая преобразует произвольный набор входных данных (сообщение) в выходную строку фиксированной длины — 256 бит (32 байта). SHA-256 является односторонней функцией: по значению хеша практически невозможно восстановить исходное сообщение, а любое изменение входных данных приводит к кардинально иному результату (лавинный эффект). Алгоритм широко применяется в системах цифровых подписей, блокчейне, протоколах аутентификации и проверки целостности данных.

¶История и стандартизация

Разработка SHA-256 была инициирована Агентством национальной безопасности США (NSA) в ответ на уязвимости, обнаруженные в предшественнике — SHA-1. В 2001 году Национальный институт стандартов и технологий США (NIST) опубликовал алгоритм как часть стандарта FIPS PUB 180-2 (Federal Information Processing Standard). В 2002 году он был включён в официальный стандарт США. В 2004 году NIST выпустил обновлённую версию стандарта FIPS PUB 180-3, а в 2008 году — FIPS PUB 180-4, в котором SHA-256 остаётся одним из ключевых алгоритмов.

SHA-256 пришёл на смену SHA-1, который к началу 2000-х годов демонстрировал признаки коллизионной уязвимости (теоретически, а затем и практически). В отличие от SHA-1, который выдаёт 160-битный хеш, SHA-256 обеспечивает значительно большую криптостойкость за счёт увеличенной длины хеша и более сложной внутренней структуры.

¶Алгоритм работы

¶Входные данные и дополнение

Алгоритм принимает на вход сообщение произвольной длины (от 0 до 2^64 − 1 бит). Процесс начинается с дополнения (padding) сообщения до длины, кратной 512 битам. Дополнение выполняется следующим образом:

1. К сообщению добавляется единичный бит (1).
2. Затем добавляются нулевые биты до тех пор, пока длина сообщения не станет на 64 бита меньше, чем ближайшее число, кратное 512.
3. В последние 64 бита записывается исходная длина сообщения в битах (в формате big-endian).

¶Инициализация

SHA-256 использует восемь 32-битных начальных констант (H0–H7), которые представляют собой первые 32 бита дробных частей квадратных корней первых восьми простых чисел (2, 3, 5, 7, 11, 13, 17, 19). Эти константы заданы в стандарте и не меняются.

¶Основные раунды

Обработка сообщения происходит блоками по 512 бит (16 слов по 32 бита). Для каждого блока выполняется 64 раунда преобразований. В каждом раунде используются:

• Шесть логических функций (Ch, Maj, Σ0, Σ1, σ0, σ1), которые оперируют 32-битными словами.
• 64 раундовые константы (K0–K63), полученные из дробных частей кубических корней первых 64 простых чисел.
• Операции циклического сдвига, XOR, сложение по модулю 2^32.

На каждом раунде текущее состояние (8 переменных a–h) обновляется с использованием одного 32-битного слова из расширенного сообщения (Wt) и соответствующей константы (Kt). Расширение сообщения (Message Schedule) генерирует 64 слова Wt из 16 исходных слов блока.

¶Выходной хеш

После обработки всех блоков сообщения финальные значения a–h (после сложения с начальными H0–H7 для каждого блока) конкатенируются в 256-битную строку. Эта строка и является итоговым хешем SHA-256.

¶Криптостойкость и безопасность

SHA-256 считается криптостойкой хеш-функцией. Её стойкость основана на следующих свойствах:

• Стойкость к коллизиям: сложность нахождения двух разных сообщений с одинаковым хешем составляет около 2^128 операций (теоретически, на практике — из-за атак на SHA-2 — несколько ниже, но всё ещё считается безопасным).
• Стойкость к прообразу: сложность восстановления исходного сообщения по хешу — около 2^256 операций.
• Стойкость ко второму прообразу: сложность нахождения другого сообщения с тем же хешем — около 2^256 операций.

По состоянию на 2025 год не существует практически реализуемых атак на SHA-256, которые позволяли бы находить коллизии или прообразы быстрее, чем полным перебором. Однако в 2011 году были опубликованы теоретические атаки на уменьшенные версии SHA-2 (до 31 раунда из 64), но они не представляют угрозы для полного алгоритма.

¶Применение

¶Блокчейн и криптовалюты

SHA-256 является основой алгоритма консенсуса Proof-of-Work в биткоине (Bitcoin) и многих других криптовалютах. Майнеры вычисляют хеши заголовков блоков, изменяя nonce (случайное число), чтобы получить хеш, начинающийся с определённого количества нулевых битов (целевой сложности). Это обеспечивает защиту сети от атак и подтверждает транзакции.

¶Цифровые подписи

SHA-256 используется в схемах цифровых подписей, таких как ECDSA (Elliptic Curve Digital Signature Algorithm) и RSA-PSS. Подписывается не само сообщение, а его хеш, что значительно ускоряет процесс и уменьшает размер подписи.

¶Проверка целостности данных

SHA-256 применяется для создания контрольных сумм файлов и сообщений. Например, при скачивании программного обеспечения пользователи могут сравнить хеш скачанного файла с хешем, опубликованным разработчиком, чтобы убедиться в отсутствии повреждений или подмены.

¶Аутентификация и пароли

В системах хранения паролей SHA-256 используется в комбинации с солью (случайной строкой) для защиты от радужных таблиц. Однако для хранения паролей чаще применяются более медленные функции (bcrypt, scrypt, Argon2), так как SHA-256 слишком быстр для эффективной защиты от атак перебором.

¶Сертификаты и TLS

SHA-256 используется в инфраструктуре открытых ключей (PKI) для создания цифровых отпечатков сертификатов и в протоколах TLS/SSL для обеспечения целостности и аутентификации соединений.

¶Производительность

SHA-256 является относительно быстрым алгоритмом на современных процессорах. Многие процессоры (например, Intel и AMD, начиная с 2012 года) имеют аппаратную поддержку инструкций SHA (SHA-NI), которые ускоряют вычисление хешей. В программной реализации на 64-битных процессорах скорость может достигать нескольких сотен мегабайт в секунду.

¶Ограничения и альтернативы

Основным ограничением SHA-256 является его фиксированная длина выхода (256 бит), что может быть избыточно или недостаточно для некоторых приложений. Для более высоких требований к безопасности (например, при квантовых угрозах) рассматриваются алгоритмы из семейства SHA-3 (Keccak) и постквантовые хеш-функции.

SHA-256 также не является устойчивым к атакам по сторонним каналам (side-channel attacks) в наивных реализациях, поэтому в критических приложениях (например, в аппаратных кошельках) используются специальные защищённые реализации.

¶Сравнение с другими хеш-функциями

SHA-256 остаётся одним из наиболее распространённых и доверенных криптографических алгоритмов в мире, несмотря на появление более новых стандартов.

¶Источники

1. FIPS PUB 180-4: Secure Hash Standard (SHS), National Institute of Standards and Technology, 2015.
2. NIST Special Publication 800-107: Recommendation for Applications Using Approved Hash Algorithms, 2012.
3. Schneier, B. (1996). Applied Cryptography: Protocols, Algorithms, and Source Code in C. John Wiley & Sons.
4. Menezes, A., van Oorschot, P., Vanstone, S. (1996). Handbook of Applied Cryptography. CRC Press.
5. Nakamoto, S. (2008). Bitcoin: A Peer-to-Peer Electronic Cash System.