Beveiliging

Nee. Deze tools zijn JavaScript die in je browser draait: de waarde die je invoert wordt op je eigen apparaat verwerkt en nooit verzonden. Je kunt het zelf nagaan: laad de pagina, verbreek je internetverbinding, en elke tool blijft gewoon werken.

Nee. Hashen is per ontwerp eenrichtingsverkeer: dezelfde invoer levert altijd dezelfde hash op, maar de hash bevat geen weg terug. Elke site die "hash ontsleutelen" belooft, zoekt jouw hash in werkelijkheid op in een tabel met vooraf berekende veelvoorkomende waarden, of probeert met brute kracht net zo lang gokken tot er één klopt. Weet je niet welk algoritme een hash heeft gemaakt, dan grenst de hash-identifier het af op lengte en formaat.

Voor beveiliging niet. Tegen beide bestaan praktische botsingsaanvallen: MD5 viel in 2004, SHA-1 sneuvelde in 2017 door de SHAttered-aanval. Een botsing betekent dat een aanvaller twee verschillende invoeren met dezelfde hash kan maken. Als snelle checksum om toevallige bestandscorruptie of duplicaten op te sporen voldoen ze nog prima. Voor handtekeningen, certificaten of alles wat een tegenstander kan aanvallen: gebruik SHA-256 of SHA-512.

bcrypt, niet SHA-256. SHA-algoritmes zijn gebouwd op snelheid, en snelheid is precies wat de aanvaller helpt die je database heeft buitgemaakt: een moderne GPU probeert miljarden SHA-256-gokken per seconde. bcrypt is met opzet traag en salt elk wachtwoord, zodat identieke wachtwoorden verschillende hashes opleveren en offline kraken duur wordt. Met de bcrypt-verifier controleer je een wachtwoord tegen een bestaande hash.

Nee, en dat is ook niet de bedoeling. Het zijn klassieke cijfers, te kraken met pen en papier: ROT13 lees je met het blote oog zodra je het patroon herkent. Ze staan hier omdat CTF-opdrachten, puzzelspellen en versluierde strings ze voortdurend gebruiken. Voor echte versleuteling gebruik je AES.