Мій співробітник служби безпеки шукає алгоритм хешування, який займе рядок до 20 символів, а потім виведе унікальний буквено-цифровий хеш з 12 символів. 20-символьний рядок, як правило, просто буде цифрами (добре, я вам скажу, це номери кредитних карт), тому мені здається стисливим.

Ймовірно, у нього було б більше рівня комфорту, якщо це щось загальнодоступне і перевірене, але моє дослідження поки що дозволяє припустити, що популярні алгоритми хешування мають, як правило, фіксовану довжину (або змінні виходи, але певні заздалегідь визначені довжини).

Слідкуйте за тим, як ви обробляєте номери кредитних карт!

Просто дотримуйтесь стандартів та законів, які застосовуються у вашій місцевості або надані вашим співробітником служби безпеки. Якщо вам дійсно потрібно це зробити, то переконайтеся, що ви переглянули свій дизайн, ви дійсно не хочете передавати номер кредитної картки навколо свого коду або зіштовхувати номери кредитних карт через хеширування.

Це прохання про проблеми рано чи пізно ...

Номер кредитної картки повинен мати дуже короткий час, щоб жити у вашому коді, використовувати його для оплати і не більше того. У кращому випадку ви можете зберігати обрізану версію цієї версії лише для відображення. Але не використовуйте його у випадках, коли його хеші зіткнуться або таким чином, щоб оригінал можна було отримати, і якщо вам якимось чином це потрібно зробити, переконайтеся, що у вас є гарна хеш-система та / або система безпеки, щоб не було зіткнень можливо, і ви можете зв’язатися з усіма клієнтами, коли ваша база даних / програмного забезпечення була порушена.

У продавця не повинно бути жодних причин зберігати повний номер кредитної картки, хеширувати чи ні.

Я думаю, що вам дійсно потрібно оцінити, для чого це потрібно робити.

Якщо ви зберігаєте номери кредитних карт, простір номерів може бути досить малим, що грубе форсування хеш-правдоподібно, що робить зберігання навіть цього хеша небезпечним і, ймовірно, порушує PCI.

Майже напевно є краще рішення, яке допоможе вам вирішити справжню проблему, з якою ви стикаєтесь.

Якщо ваш вхід - це 20-значний номер, то є 10 ²⁰ можливих входів.
Якщо ваш вихід - це 12-символьний буквено-цифровий рядок, то існує 62 ¹² можливих виходів.

Вхідні дані:

100000000000000000000

Виходи:

3226266762397899821056

Якщо ми уважно придивимось, то побачимо, що нижнє число довше.
Що означає, що є більше можливих виходів, ніж входів .
Це означає, що хешування є безглуздим, оскільки кожен можливий вихід може бути відображений безпосередньо на один вхід. Тож це означає, що було б неймовірно легко перебити та отримати фактичні цифри назад.

Отже, ми просто використовуватимемо коротший хеш!

В чому справа? Просто використовуйте ціле число, випадкове, якщо вам доведеться.

Візьмемо паролі як приклад.
Ви ніколи не зберігаєте пароль. Ви зберігаєте тільки хеш. Це дозволяє легко перевірити заданий вклад на цей хеш (щоб побачити, чи вказаний пароль правильний), не зберігаючи фактичний пароль.

Це працює, тому що:

1. наші алгоритми хешування не створюють однаковий хеш для двох входів легко (зіткнення малоймовірні)
2. нерозумно вважати, що хтось міг розібратися в оригінальному введенні для даного хешу

І чому це? Ну а пароль, який я використав, може бути довжиною 1 000 000 символів. Як ви це зрозумієте з короткого хешу? Ви не можете. Ви можете лише спробувати обчислити якомога більше хешів, порівняти їх із наявним та сподіватися на збіг. У цьому випадку зазвичай навіть не доречно знайти фактичний оригінальний вхід, оскільки спрацює будь-який вхід, який видає той самий хеш.

Отже, якщо я зловмисник і отримав базу даних з хешами, я міг би порівняти хеші з набором, який я раніше обчислював, щоб знайти дійсний вхід для цього хеша. Зазвичай протидіють засолюванню хешей.

Тож зловмисник змушений буде тримати грубі сили так довго, поки не знайде дійсний вклад для відповідного хешу (що займе назавжди, тому що існує шалена кількість можливих хешей).

Але що робити, якщо паролі були обмежені певною довжиною і вони могли містити лише цифри?
Це різко скорочує можливі введення даних і, таким чином, час, який знадобиться для грубої сили відповідного хешу.
І це в основному, що ви робите, коли хешуєте номери кредитних карт. Але це гірше, тому що якщо зловмисник отримав збіг, то це буде не просто довільний рядок, а, швидше за все, дійсний номер кредитної картки!

Ігноруючи всі вищезазначені питання, є справді, насправді, сліпуче просте рішення.

У псевдокоді:

function my_hash(string data, int length){
    string t = md5sum(data);
    return t.substring(0,length)
}

Або sha512 сума або що завгодно вражає вашу фантазію. Особисто я рекомендую кілька раундів мушля. Якщо хтось захоплює базу даних і знає, як ви створили цей хеш, він може просто пробігтися через простір усіх номерів CC, а також порівняти дані, щоб відмінити його. Це погано .

Однак будьте обережні. Прочитайте всі інші відповіді, всі вони мають дуже вагомі бали.