Sikkerhed

Nej. Værktøjerne er JavaScript, der kører i din browser: den værdi, du taster ind, behandles på din egen enhed og sendes aldrig videre. Du kan selv efterprøve det: indlæs siden, afbryd internetforbindelsen, og hvert eneste værktøj virker stadig.

Nej. Hashing er envejs af konstruktion: samme input giver altid samme hash, men hashen rummer ingen vej tilbage. Enhver side, der lover "hash-dekryptering", slår i virkeligheden din hash op i en tabel over forudberegnede almindelige værdier eller gætter med brute force, indtil noget passer. Ved du ikke, hvilken algoritme der har lavet en hash, indsnævrer hash-identifikatoren det ud fra længde og format.

Ikke til sikkerhed. Der findes praktiske kollisionsangreb mod begge: MD5 faldt i 2004, og SHA-1 blev knækket af SHAttered-angrebet i 2017. En kollision betyder, at en angriber kan konstruere to forskellige input med samme hash. Som hurtig kontrolsum til at opdage tilfældig filkorruption eller dubletter duer de stadig. Til signaturer, certifikater eller noget, en modstander kan angribe: brug SHA-256 eller SHA-512.

bcrypt, ikke SHA-256. SHA-algoritmerne er bygget til at være hurtige, og hastighed er præcis det, der hjælper den, der har stjålet din database: et moderne grafikkort prøver milliarder af SHA-256-gæt i sekundet. bcrypt er langsom med vilje og salter hver adgangskode, så ens adgangskoder giver forskellige hashes, og offline-knækning bliver dyrt. Brug bcrypt-verifikatoren til at tjekke en adgangskode mod en eksisterende hash.

Nej, og det er heller ikke meningen. Det er klassiske chifre, der kan knækkes med papir og blyant: ROT13 kan du læse med det blotte øje, så snart du genkender mønsteret. De ligger her, fordi CTF-opgaver, gådespil og obfuskerede strenge bruger dem hele tiden. Til rigtig kryptering skal du bruge AES.