Quelltext der Seite SHA-2

'''SHA-2''' (von {{enS|secure hash algorithm}}, „sicherer Hash-Algorithmus“) ist der Oberbegriff für die [[Kryptologische Hashfunktion|kryptologischen Hashfunktionen]] '''SHA-224''', '''SHA-256''', '''SHA-384''', '''SHA-512''', '''SHA-512/224''' und '''SHA-512/256''', die vom US-amerikanischen [[National Institute of Standards and Technology]] (NIST) als Nachfolger von [[SHA-1]] standardisiert wurden.

== Geschichte ==
Im August 2002 wurden die Versionen SHA-256, SHA-384 und SHA-512 vorgestellt. Eine vierte Variante, SHA-224, folgte im Februar 2004. Im März 2012 wurde der Standard in FIPS PUB 180-4 um die Hashfunktionen SHA-512/224 und SHA-512/256 ergänzt.<ref name="FIPS 180-4" />

Als Reaktion auf die bekanntgewordenen Angriffe gegen SHA-1 hielt das NIST im Oktober 2005 einen Workshop ab, in dem der aktuelle Stand kryptologischer Hashfunktionen diskutiert wurde. NIST empfahl damals den Übergang von SHA-1 zu Hashfunktionen der SHA-2-Familie.

Um eine Hashfunktion mit einem andersartigen Konstruktionsprinzip zu erhalten, organisierte das NIST eine Ausschreibung für [[SHA-3]] nach Vorbild des [[Advanced Encryption Standard]]s (AES). Die Wahl fiel im Oktober 2012 auf den Algorithmus ''Keccak''. SHA-2 wird aber weiterhin als sicher betrachtet und zur Benutzung empfohlen.<ref name="SHA3" /> Hiervon ausgenommen ist SHA-224, siehe Empfehlung seitens des [[Bundesamt für Sicherheit in der Informationstechnik|Bundesamtes für Sicherheit in der Informationstechnik (BSI)]].<ref name="bsi-richtlinien" /> Die Funktionen der SHA3-Familie sind resistent gegen Length-Extension-Attacken im Gegensatz zu einigen SHA-2-Varianten.

== Funktionsweise ==
[[Datei:SHA-2.svg|mini|330px|Rundenfunktion von SHA-224 und SHA-256.<br />
A bis H sind die Wörter des Datenblocks, der verschlüsselt wird, <math>W_i</math> sind aus dem Nachrichtenblock berechnete Rundenschlüssel und <math>K_i</math> Konstanten.<br />
&nbsp;&nbsp;<math>\operatorname{Ch}(E,F,G) = (E \land F) \oplus (\neg E \land G)</math><br />
&nbsp;&nbsp;<math>\operatorname{Ma}(A,B,C) = (A \land B) \oplus (A \land C) \oplus (B \land C)</math><br />
&nbsp;&nbsp;<math>\Sigma_0(A) = (A\!\ggg\!2) \oplus (A\!\ggg\!13) \oplus (A\!\ggg\!22)</math><br />
&nbsp;&nbsp;<math>\Sigma_1(E) = (E\!\ggg\!6) \oplus (E\!\ggg\!11) \oplus (E\!\ggg\!25)</math><br />
Die Varianten mit 64-Bit-Wörtern nutzen die gleiche Rundenfunktion, nur mit anderen Rotationsweiten:<br />
&nbsp;&nbsp;<math>\Sigma_0(A) = (A\!\ggg\!28) \oplus (A\!\ggg\!34) \oplus (A\!\ggg\!39)</math><br />
&nbsp;&nbsp;<math>\Sigma_1(E) = (E\!\ggg\!14) \oplus (E\!\ggg\!18) \oplus (E\!\ggg\!41)</math>]]

Wie der Vorläufer SHA-1 ist SHA-2 eine [[Merkles Meta-Verfahren|Merkle-Damgård-Konstruktion]] mit Davies-Meyer-Kompressionsfunktion. Die Nachricht (zu hashende Quelldaten) wird erst [[Padding (Informatik)|erweitert]], wobei eine Kodierung der Nachrichtenlänge angefügt wird, und dann in Blöcke zu je sechzehn [[Datenwort|Wörtern]] aufgeteilt. Die Nachrichtenblöcke werden nacheinander ([[Iteration|iterativ]]) verarbeitet. Dazu wird ein Datenblock von acht Wörtern mit dem Nachrichtenblock als Schlüssel [[Blockverschlüsselung|verschlüsselt]], worauf der entstehende Schlüsseltext noch durch Addition der Klartextwörter [[modulo]] 2<sup>32</sup> bzw. 2<sup>64</sup> modifiziert wird. Das Resultat ist der nächste Klartext bzw. ihm wird nach dem letzten Nachrichtenblock der Hashwert entnommen. Der Datenblock wird zu Beginn mit Konstanten initialisiert.

Die Länge der Schlüssel- und Datenwörter beträgt 32 oder 64&nbsp;[[Bit]], je nach Variante. Die kleineren Versionen SHA-224 und SHA-256 verwenden 32-Bit-Wörter und teilen die Nachricht in Blöcke zu 512&nbsp;Bit. Sie verschlüsseln in 64 Runden unter Verwendung von vier logischen Funktionen und je Runde einer anderen Konstanten. Bei SHA-224 wird vom Endergebnis das achte 32-Bit-Wort weggelassen.

Die übrigen vier Varianten verwenden 64-Bit-Wörter und 1024-Bit-Nachrichtenblöcke und verschlüsseln in 80 Runden, im Wesentlichen mit dem gleichen Algorithmus. Es werden dafür 80 64-Bit-Konstanten verwendet. Der initiale Datenblock besteht entsprechend aus acht 64-Bit-Konstanten. Für SHA-384 sowie SHA-512/224 und SHA-512/256 wird vom Ergebnis nur ein Anfangsstück von 384, 224 bzw. 256&nbsp;Bit als Hashwert genommen.

Die Konstanten werden aus den Nachkommastellen der [[Wurzel (Mathematik)|Quadrat- oder Kubikwurzeln]] der ersten [[Primzahl]]en gebildet (siehe ''[[Unverdächtige Konstante]]''). Jede der sechs Varianten initialisiert den Datenblock mit unterschiedlichen Konstanten.<ref name="SHA-2 Konstanten" />

Mit den 64-Bit-Varianten können theoretisch Daten bis zu einer Größe von 2<sup>128</sup>&nbsp;Bit verarbeitet werden. In der Praxis sind Dateien mit mehr als 2<sup>64</sup>&nbsp;Bit jedoch unrealistisch.

=== Beispiel-Hashes ===
Die Hashwerte werden hier [[Hexadezimalsystem|hexadezimal]] angegeben, zwei Ziffern stellen ein Byte des Hashes dar. Der Hash einer leeren Zeichenkette ist:

 SHA-224("") =
 d14a028c2a3a2bc9476102bb288234c415a2b01f828ea62ac5b3e42f
 SHA-256("") =
 e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855
 SHA-512/224("") =
 6ed0dd02806fa89e25de060c19d3ac86cabb87d6a0ddd05c333b84f4
 SHA-512/256("") =
 c672b8d1ef56ed28ab87c3622c5114069bdd3ad7b8f9737498d0c01ecef0967a
 SHA-384("") =
 38b060a751ac96384cd9327eb1b1e36a21fdb71114be07434c0cc7bf63f6e1da274edebfe76f65fbd51ad2f14898b95b
 SHA-512("") =
 cf83e1357eefb8bdf1542850d66d8007d620e4050b5715dc83f4a921d36ce9ce47d0d13c5d85f2b0ff8318d2877eec2f63b931bd47417a81a538327af927da3e

Eine kleine Änderung der Nachricht, beispielsweise in der Länge oder des Inhalts, erzeugt einen ganz anderen Hash. Diese Eigenschaft wird in der [[Kryptographie]] auch als [[Lawineneffekt (Kryptographie)|Lawineneffekt]] bezeichnet.

 SHA-224("Fran'''<u>z</u>''' jagt im komplett verwahrlosten Taxi quer durch Bayern") =
 49b08defa65e644cbf8a2dd9270bdededabc741997d1dadd42026d7b
 SHA-224("Fran'''<u>k</u>''' jagt im komplett verwahrlosten Taxi quer durch Bayern") =
 58911e7fccf2971a7d07f93162d8bd13568e71aa8fc86fc1fe9043d1

== Normen und Standards ==
SHA-2 wurde zuerst vom NIST selbst veröffentlicht.
* [http://csrc.nist.gov/publications/fips/fips180-2/fips180-2withchangenotice.pdf FIPS PUB 180-2] (PDF; 1,5&nbsp;MB) Secure Hash Standard (Erste Version 2004)
* [http://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.180-4.pdf FIPS PUB 180-4] (PDF) Secure Hash Standard (aktuelle Version 2015)

… und später auch als RFC veröffentlicht:
* {{RFC-Internet |RFC=4634 |Titel=US Secure Hash Algorithms (SHA and [[HMAC]]-SHA) |Datum=2006-07 |Kommentar=veraltet}}
* {{RFC-Internet |RFC=6234 |Titel=US Secure Hash Algorithms (SHA and SHA-based HMAC and HKDF) |Datum=2011-05 |Obsoletes=4634}}

== Siehe auch ==
Die Algorithmen SHA-1 und SHA-256 sind auch die Basis für die [[Blockverschlüsselung]] [[SHACAL]].

== Weblinks ==
* {{Webarchiv |url=http://csrc.nist.gov/groups/STM/cavp/documents/shs/sha256-384-512.pdf |text=Beschreibung der Algorithmen SHA-256, SHA-384 und SHA-512 |wayback=20150315061807}}
* [https://www.psw-group.de/blog/sha-1-wird-verabschiedet-sha-2-startet-das-muessen-sie-wissen/1665 SHA-1 wird verabschiedet, SHA-2 startet (Update: SHA-3 wird Standard)] IT-Security, von Christian Heutger, 6. August 2015.
* [http://csrc.nist.gov/groups/ST/hash/index.html csrc.nist.gov] – Cryptographic Hash Project
* [https://dusted.codes/sha-256-is-not-a-secure-password-hashing-algorithm SHA-256 is not a secure password hashing algorithm] – DUSTED CODES abgerufen am 24. Juni 2018
* [http://csrc.nist.gov/groups/ST/toolkit/secure_hashing.html CSRC Cryptographic Toolkit] – Official [[National Institute of Standards and Technology|NIST]] site for the Secure Hash Standard
* [https://support.microsoft.com/de-de/help/4474419/sha-2-code-signing-support-update Update für die Unterstützung der SHA-2-Codesignierung für Windows Server 2008 R2, Windows 7 und Windows Server 2008: 23. September 2019] Microsoft-Support

== Einzelnachweise ==
<references>
<ref name="FIPS 180-4">
{{Internetquelle
 |url=https://unblock.federalregister.gov/
 |titel=Request Access
 |hrsg=Federal Register
 |abruf=2023-04-05}}
</ref>
<ref name="SHA3">
{{Internetquelle
 |url=http://www.nist.gov/itl/csd/sha-100212.cfm
 |titel=NIST Selects Winner of Secure Hash Algorithm (SHA-3) Competition
 |hrsg=[[National Institute of Standards and Technology|NIST]]
 |datum=2012-10-02
 |sprache=en
 |abruf=2017-12-06
 |zitat=NIST considers SHA-2 to be secure and suitable for general use.}}
</ref>
<ref name="bsi-richtlinien">
{{Internetquelle
 |url=https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/Technische-Richtlinien/TR-nach-Thema-sortiert/tr02102/tr-02102.html?nn=433400
 |titel=BSI TR-02102 Kryptographische Verfahren: Empfehlungen und Schlüssellängen
 |werk=bsi.bund.de
 |sprache=de
 |abruf=2023-04-05}}
</ref>
<ref name="SHA-2 Konstanten">
{{Internetquelle
 |url=http://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.180-4.pdf
 |titel=FIPS PUB 180-4 – Secure Hash Standard (SHS)
 |hrsg=[[National Institute of Standards and Technology|NIST]]
 |datum=2015-08
 |format=PDF
 |sprache=en
 |abruf=2021-06-30
 |kommentar=S. 11, Abs. 4.2.2 ''SHA-224 and SHA-256 Constants''; S. 12, Abs. 4.2.3 ''SHA-384, SHA-512, SHA-512/224 and SHA-512/256 Constants''}}
</ref>
</references>

[[Kategorie:Kryptographische Hashfunktion]]