パスワードを暗号化する「ハッシュ化」とは？セキュリティの基礎知識

パスワードがそのまま保存されていたら危険！

あなたがWebサービスに登録したパスワード。もし、データベースにそのまま（平文で）保存されていたらどうなるでしょうか？万が一、データベースの中身が流出した場合、あなたのパスワードは攻撃者に丸見えになってしまいます。

これを防ぐために使われる技術が「ハッシュ化」です。

よく混同されますが、この2つは似て非なるものです。

パスワード管理において重要なのは、「管理者であってもユーザーの元のパスワードを知ることができない」状態にすることです。だから、元に戻せる「暗号化」ではなく、一方通行の「ハッシュ化」を使います。

ハッシュ関数は、任意のデータ（入力）を、決まった長さの文字列（ハッシュ値）に変換する計算式のことです。

例（SHA-256の場合）：

入力が1文字でも変わると、出力されるハッシュ値は似ても似つかない全く別の文字列になります。

Jeneeのハッシュ生成ツールを使うと、ブラウザ上で簡単にハッシュ値を生成できます。

自分が使っているパスワードが、どのようなハッシュ値になるか確認できます。

ダウンロードしたファイルが壊れていないか、改ざんされていないかを確認するのに使われます（チェックサム）。ファイルの配布元が公開しているハッシュ値と、手元のファイルのハッシュ値を比較し、一致すれば安全です。

開発中のアプリケーションで、ダミーのハッシュ値が必要な場合に便利です。

A: いいえ、完璧ではありません。「レインボーテーブル」という、よくあるパスワードとハッシュ値の対応表を使った攻撃手法があります。これを防ぐために、「ソルト（Salt）」と呼ばれるランダムな文字列をパスワードに混ぜてからハッシュ化する対策が一般的です。

A: もしメールで「あなたのパスワードは〇〇です」と通知が来たら、そのサイトはパスワードをハッシュ化せずに保存している可能性が高いです。セキュリティ的には非常に危険と言えます（ハッシュ化していれば、元のパスワードは分からないはずだからです）。

「ハッシュ化」は、現代のWebセキュリティを支える重要な技術です。開発者でなくても、「パスワードは変換されて保存されているんだな」「元には戻せないんだな」と知っておくだけで、セキュリティ意識は大きく変わります。

ポイント:

ぜひ、ツールを使って実際にハッシュ値を生成し、その不可思議な仕組みを体験してみてください。