Nivel 3 · 3B Cifrado · Lección 2 de 3
Hashes: huellas digitales
Un hash es una huella digital de un archivo o de un texto: una cadena de largo fijo que sale de un cálculo. Tiene tres propiedades clave: el mismo contenido da siempre la misma huella, un cambio mínimo cambia toda la huella, y no se puede volver de la huella al contenido.
Para qué se usan
Para comprobar que un archivo no fue modificado: el sitio oficial publica el SHA-256 de su programa y vos calculás el del archivo que bajaste. Si coinciden, es el original. También para guardar contraseñas: el sitio guarda la huella, y al entrar compara la huella de lo que escribiste con la guardada.
sha256sum instalador.zip
cat huellas-oficiales.txt- sha256sum calcula la huella SHA-256 del archivo que bajaste.
- Después la comparás con la que publica el sitio oficial. Si una sola letra no coincide, el archivo fue cambiado.
Contraseñas: hash lento y con sal
Para contraseñas no alcanza cualquier hash. MD5 y SHA-1 están rotos, y hasta SHA-256 es demasiado rápido: un atacante con la base robada prueba miles de millones de contraseñas por segundo. Se usan algoritmos lentos a propósito, como Argon2id, bcrypt o scrypt, con una «sal»: un valor al azar distinto para cada usuario, para que dos contraseñas iguales no den la misma huella.
Para ir más a fondo
Colisiones
Una colisión es cuando dos contenidos distintos dan la misma huella. En un hash bueno es prácticamente imposible encontrarla. En MD5 y SHA-1 ya se fabricaron colisiones a propósito: por eso no se usan para firmar ni para comprobar descargas en cosas importantes.
Preguntas de repaso
Cambiás una sola letra de un archivo. ¿Qué pasa con su SHA-256?
Respuesta: Cambia toda la huella. Un cambio mínimo produce una huella completamente distinta: así se detecta cualquier modificación.
¿Cuál es la mejor forma de guardar contraseñas?
Respuesta: Con un hash lento y con sal, como Argon2id. Un hash lento y con sal no se puede revertir y hace carísimo probar contraseñas a ciegas.
La huella SHA-256 de tu descarga no coincide con la del sitio oficial. ¿Qué hacés?
Respuesta: No la instalás: el archivo fue alterado o está dañado. Si la huella no coincide, no es el archivo original. Se borra y se baja de la fuente oficial.