SHA-1 Hash Generator (160-bit, Algoritma Usang)

Apa Itu SHA-1?

// Hash text using Web Crypto API (SHA-1 — legacy use only)
async function sha1(text) {
  const data = new TextEncoder().encode(text);
  const hash = await crypto.subtle.digest('SHA-1', data);
  return Array.from(new Uint8Array(hash))
    .map(b => b.toString(16).padStart(2, '0'))
    .join('');
}

await sha1('Hello, World!');
// → '0a0a9f2a6772942557ab5355d76af442f8f65e01'
// ⚠️ SHA-1 is broken — use SHA-256 for new work.

Contoh SHA-1

tree 4b825dc642cb6eb9a060e54bf8d69288fbee4904
author A Dev <dev@example.com> 1716854400 +0000
committer A Dev <dev@example.com> 1716854400 +0000

Initial commit

-----BEGIN CERTIFICATE-----
MIIDXTCCAkWgAwIBAgIJAKlL...
-----END CERTIFICATE-----

node-v0.12.7-linux-x64.tar.gz

(Tempel isi file shattered-1.pdf milik Google/CWI melalui tab File)

Cara Membuat Hash SHA-1

1. 1

   Tempel teks atau masukkan file

   Pilih tab Teks dan tempel string apa pun — pesan commit, badan sertifikat, atau input checksum warisan — ke area input. Hash SHA-1 diperbarui saat Anda mengetik. Untuk file, beralih ke tab File dan seret file apa pun ke dropzone; browser meng-hash-nya secara lokal tanpa unggahan.

2. 2

   Salin hash 40 karakter

   Klik tombol Salin di samping output hash. String hex lowercase 40 karakter penuh masuk ke clipboard Anda. Gunakan toggle Huruf Besar jika sistem warisan Anda memerlukan hex uppercase — beberapa alat lama dan Windows API default ke uppercase.

3. 3

   Bandingkan dengan sidik jari warisan

   Beralih ke tab Bandingkan dan tempel dua hash SHA-1 secara berdampingan untuk mengonfirmasi apakah cocok. Berguna untuk memvalidasi checksum penerbit warisan, mengaudit repositori Git yang dicerminkan, atau memeriksa sidik jari sertifikat TLS lama dari dokumen sebelum adopsi SHA-256.

Detail Teknis

Algoritma: konstruksi Merkle-Damgård, 80 ronde

SHA-1 memproses input dalam blok 512-bit (64-byte), menerapkan 80 ronde operasi bitwise yang dikelompokkan dalam empat tahap 20-ronde, masing-masing dengan fungsi logika berbeda (Ch, Parity, Maj, Parity) dan konstanta aditif. Status hash awal adalah lima kata 32-bit (A–E), dan hash akhir adalah gabungan kata-kata tersebut setelah blok terakhir. Implementasi didefinisikan dalam FIPS 180-1 (1995), digantikan oleh FIPS 180-4 (2015).

Output: 160 bit, 40 karakter hex

Selalu persis 40 karakter heksadesimal lowercase (160 bit = 20 byte, dikodekan sebagai 2 karakter hex per byte). Panjang output tetap terlepas dari ukuran input. Dibandingkan dengan SHA-256 yang 64 karakter, output yang lebih pendek memberikan bit ketahanan tabrakan yang lebih sedikit — faktor kunci mengapa SHA-1 diretakkan sebelum SHA-256.

Performa: cepat tetapi itu bagian dari masalahnya

SHA-1 cepat — biasanya 400–700 MB/s di browser menggunakan Web Crypto. Bagi penyerang, kecepatan ini adalah aset: klaster GPU modern dapat menghitung miliaran hash SHA-1 per detik, mempercepat pencarian brute-force dan tabrakan. Kecepatan inilah mengapa SHA-1 (seperti MD5) tidak boleh pernah digunakan untuk penyimpanan kata sandi — gunakan bcrypt, scrypt, atau Argon2 sebagai gantinya.

Standar: FIPS 180-1 (1995) — dilarang dalam konteks FIPS 180-4

SHA-1 distandarkan dalam FIPS 180-1 (1995), menggantikan SHA-0 yang cacat. NIST men-deprecate SHA-1 untuk tanda tangan digital dalam NIST SP 800-131A (2011) dan dalam FIPS 186-5 (2023) secara resmi melarangnya untuk semua pembuatan tanda tangan digital. RFC 6194 (2011) mendokumentasikan pertimbangan keamanan yang diketahui. W3C WebCrypto API masih menyertakan SHA-1 untuk alasan interoperabilitas warisan, inilah cara alat browser ini dapat menghitungnya.

Praktik Terbaik

Jangan pernah gunakan SHA-1 untuk operasi yang sensitif terhadap keamanan

SHA-1 telah dilarang untuk tanda tangan digital, sertifikat TLS, penandatanganan kode, penyimpanan kata sandi, dan alur kerja apa pun di mana ketahanan tabrakan penting. Serangan SHAttered 2017 mendemonstrasikan tabrakan praktis. Untuk semua penggunaan keamanan, migrasikan ke SHA-256 atau SHA-3. Perbedaan biaya tidak signifikan pada hardware modern — SHA-256 dipercepat hardware di semua CPU saat ini.

SHA-1 untuk pencarian sidik jari warisan dapat diterima

Jika Anda perlu memverifikasi checksum file pra-2017, mencari ID commit Git, atau memeriksa sidik jari sertifikat lama untuk tujuan audit, SHA-1 adalah tepat. Hash itu sendiri tidak digunakan untuk membuat keputusan kepercayaan — Anda hanya mereproduksi sidik jari yang diketahui untuk referensi silang. Dokumentasikan ini secara eksplisit dalam log audit Anda: 'SHA-1 digunakan hanya untuk referensi warisan, bukan untuk validasi keamanan.'

Selalu hash byte UTF-8, bukan poin kode Unicode

SHA-1, seperti semua algoritma hash, beroperasi pada byte, bukan karakter. String yang sama dikodekan sebagai UTF-8 vs UTF-16 menghasilkan hash yang berbeda. Alat ini selalu mengkodekan input sebagai UTF-8 tanpa BOM sebelum hashing. Jika Anda perlu mencocokkan sistem yang menggunakan encoding berbeda (Windows UTF-16-LE, Latin-1), Anda harus melakukan pre-encode input secara eksternal sebelum membandingkan hash.

Gunakan perbandingan constant-time saat memverifikasi hash dalam kode

Jika Anda membandingkan dua hash SHA-1 dalam kode, gunakan pemeriksaan kesetaraan constant-time — crypto.timingSafeEqual() di Node.js, hmac.compare_digest() di Python — daripada kesetaraan string biasa (=== atau ==). Perbandingan naif membocorkan informasi timing yang secara teoritis memungkinkan penyerang merekonstruksi hash yang diharapkan byte-per-byte. Ini adalah langkah defense-in-depth bahkan untuk verifikasi SHA-1 warisan.

FAQ SHA-1