Генератор SHA-384 хешей (хеш TLS Suite B)

Что такое SHA-384?

// Hash text using Web Crypto API (SHA-384)
async function sha384(text) {
  const data = new TextEncoder().encode(text);
  const hash = await crypto.subtle.digest('SHA-384', data);
  return Array.from(new Uint8Array(hash))
    .map(b => b.toString(16).padStart(2, '0'))
    .join('');
}

await sha384('Hello, World!');
// → '5485cc9b3365b4305dfb4e8337e0a598a574f8242bf17289e0dd6c20a3cd44a089de16ab4ab308f63e44b1170eb5f515'

Примеры SHA-384

ECDHE-ECDSA-AES256-GCM-SHA384

master secret || client random || server random

CLASSIFIED//TS//SI//NF — Document ID: TSC-2026-0001

POST /api/v2/transfer
Content-Type: application/json
{"amount":10000,"to":"account-XYZ"}

Как получить SHA-384 хеши

1. 1

   Вставьте текст или перетащите файл

   Выберите вкладку «Текст» и вставьте любую строку — идентификатор документа, тело запроса или произвольный ввод — в поле ввода. SHA-384 хеш обновляется по мере ввода. Для файлов переключитесь на вкладку «Файл» и перетащите любой файл в зону загрузки — браузер вычисляет хеш локально через Web Crypto API без загрузки. Для больших файлов (>10 МБ) отображается индикатор прогресса.

2. 2

   Скопируйте 96-символьный хеш

   Нажмите «Скопировать» рядом с выводом хеша. Полная 96-символьная строчная hex-строка попадает в буфер обмена — готова к вставке в TLS-конфигурацию, отчёт о соответствии или реализацию HMAC. Используйте переключатель «ПРОПИСНЫЕ», если целевая система требует прописные hex.

3. 3

   Сравните с известным хешем

   Переключитесь на вкладку «Сравнение» и вставьте два SHA-384 хеша рядом. Инструмент сообщает о совпадении или несовпадении с постоянным по времени сравнением, которое не утекает временну́ю информацию. Удобно для проверки хешей Suite B, сравнения ключей HKDF-SHA-384 между реализациями или проверки отпечатков документов в аудитах засекреченных архивов.

Технические детали

Алгоритм: SHA-512 с другим IV, вывод усечён до 384 бит

SHA-384 структурно идентичен SHA-512 (FIPS 180-4, раздел 6.5). Оба используют 80 раундов 64-битных операций (функции Ch, Maj, Σ0, Σ1) с константами. Инициализирующий вектор (восемь 64-битных слов) отличается от IV SHA-512 — он получается из дробных частей квадратных корней простых чисел с 9-го по 16-е. После обработки выводятся первые шесть 64-битных слов из восьми (384 бита); последние два слова отбрасываются.

Вывод: 384 бит, 96 hex-символов

Всегда ровно 96 строчных шестнадцатеричных символов (384 бит = 48 байт, 2 hex-символа на байт). Фиксированная длина независимо от размера ввода. 96-символьная длина — мгновенное отличие SHA-384 от SHA-256 (64 символа) и SHA-512 (128 символов). Отброшенные 128 бит — последние два 64-битных слова состояния — обеспечивают устойчивость SHA-384 к расширению длины.

Производительность: идентична SHA-512 на 64-битном железе

SHA-384 и SHA-512 выполняют одну и ту же последовательность инструкций на 64-битных CPU. Оба используют 1024-битные (128-байтные) входные блоки, обрабатываемые с 64-битными вращениями и сложениями. Пропускная способность обычно 500–900 МБ/с в браузере через Web Crypto API и 1–3 ГБ/с в нативных инструментах с аппаратными расширениями SHA. На 32-битном железе SHA-384/512 медленнее SHA-256 из-за эмуляции 64-битных целых чисел.

Стандарты: FIPS 180-4, NSA Suite B (устарел), CNSA (актуален)

Стандартизирован в FIPS 180-2 (2001), актуальная версия FIPS 180-4 (2015). Обязателен по NSA Suite B (CNSSP-15, 2005) для TOP SECRET, сохранён в CNSA Suite (2015). Указан для TLS в RFC 5246 (TLS 1.2 PRF с SHA-384 шифронаборами), RFC 8446 (TLS 1.3), RFC 5869 (HKDF). Одобрен NIST для всех уровней защиты до 2030 года и далее.

Лучшие практики

Используйте SHA-384, когда важна защита от расширения длины без HMAC

Если ваш протокол раскрывает чистый хеш-вывод и злоумышленник может попытаться расширить сообщение (например, в схемах подписанных URL или challenge-response), SHA-384 обеспечивает встроенную защиту от расширения длины, которой нет у SHA-256. Для всех остальных ключевых применений используйте HMAC независимо от базового хеша — HMAC-SHA-256 и HMAC-SHA-384 оба безопасны, и HMAC устраняет атаки расширения длины для любого варианта SHA-2.

Используйте совместно с AES-256-GCM для соответствия Suite B / CNSA

При создании системы, которая должна соответствовать требованиям NSA Suite B или CNSA, каноническое сочетание — AES-256-GCM для массового шифрования и SHA-384 для целостности и получения ключей. TLS 1.2 с ECDHE-ECDSA-AES256-GCM-SHA384 — эталонный шифронабор. Для TLS 1.3 эквивалент — TLS_AES_256_GCM_SHA384 с ecdsa_secp384r1_sha384 в качестве алгоритма подписи. Убедитесь, что ваша TLS-библиотека действительно согласовывает эти шифронаборы.

Используйте HMAC-SHA-384 для MAC с ключом в контекстах TLS 1.2 PRF

PRF TLS 1.2 использует HMAC-SHA-384 для шифронаборов, где был согласован SHA-384 (RFC 5246, раздел 5). Если вы реализуете или тестируете TLS 1.2 PRF: PRF(secret, label, seed) = P_SHA384(secret, label + seed). Не заменяйте HMAC-SHA-256 в контексте SHA-384 шифронабора — согласование шифронабора определяет PRF хеш, и несоответствие вызывает сбой рукопожатия.

Используйте постоянное по времени сравнение при проверке SHA-384 хешей в коде

При сравнении двух SHA-384 хешей в коде — проверке отпечатка документа, проверке MAC — используйте постоянное по времени равенство: Node.js crypto.timingSafeEqual(), Python hmac.compare_digest(), Go subtle.ConstantTimeCompare(). Наивное строковое равенство (=== или ==) утекает временну́ю информацию, позволяющую злоумышленнику восстановить ожидаемый хеш байт за байтом примерно за 768 сравнений (96 символов × 8 бит).

Вопросы и ответы по SHA-384