Kriptografik Hash Algoritmaları Karşılaştırması: MD5, SHA-1 ve SHA-256

Yazılım geliştirme ve siber güvenlik dünyasında, verilerin (metinler, dosyalar, parolalar) dijital parmak izlerini oluşturmak için özet (hash) algoritmaları kullanılır. Yıllar içinde bilgisayarların işlem kapasitesinin artmasıyla birlikte, bir zamanlar "kırılamaz" olarak kabul edilen algoritmalar yerini daha karmaşık ve uzun çıktılar üreten yenilerine bırakmıştır.

Bu makalede, internetin evriminde kritik rol oynamış üç ana hash algoritmasını (MD5, SHA-1 ve SHA-256) teknik özellikleri, bit uzunlukları, hızları ve güvenlik seviyeleri açısından karşılaştıracağız.

Farklı verilerin MD5 özetlerini (hash) görmek ve test etmek için MD5 Şifreleme/Çözme aracımızı kullanabilirsiniz.

Kriptografik Hash Algoritmalarının Temel Özellikleri

Karşılaştırmaya geçmeden önce, iyi bir kriptografik hash algoritmasının sahip olması gereken 3 temel kuralı (matematiksel formülü) hatırlayalım:

Tek Yönlülük (Pre-image Resistance): Hash değerinden (çıktı), orijinal veriyi (girdi) elde etmek (matematiksel olarak) imkansız olmalıdır.
Çığ Etkisi (Avalanche Effect): Girdideki tek bir bitlik değişiklik, çıktının en az %50'sini tamamen değiştirmelidir.
Çarpışma Direnci (Collision Resistance): Farklı iki girdinin aynı hash değerini (çıktıyı) üretmesi pratikte imkansız olmalıdır.

1. MD5 (Message-Digest Algorithm 5)

MD5, 1991 yılında geliştirildi ve uzun yıllar standart olarak kullanıldı.

Çıktı Uzunluğu: 128 bit. (Onaltılık sistemde 32 karakter olarak yazılır).
Olası Kombinasyon Sayısı: $2^{128}$ (Yaklaşık $3.4 \times 10^{38}$)
Durum: Kırık (Broken), Güvensiz.
Kullanım Alanı: Sadece donanımsal arıza veya ağ aktarımı sırasında oluşan kazara bozulmaları tespit etmek amaçlı dosya bütünlüğü kontrolleri (Checksum).

Vaka Analizi: MD5 Hızı ve Çarpışma Zafiyeti

Aşağıdaki metni (UTF-8, Küçük Harf) ele alalım:
Girdi: hesaplamasyon.com ile güvenli şifreleme
MD5 Çıktısı: a7b82f9d6c543e2101b2a3c4d5e6f7a8 (Örnek bir 32 karakterlik çıktı)

Neden terk edildi? Kötü niyetli aktörlerin, aynı MD5 değerini veren tamamen farklı iki dosya oluşturabildiği (Collision Attack) 2004 yılında kanıtlandı. Günümüzde ortalama bir bilgisayar, saniyede milyonlarca MD5 hash'i hesaplayabilir. Bu aşırı "hızlılık", parolaları kaba kuvvet (brute force) saldırılarına karşı tamamen savunmasız bırakır.

2. SHA-1 (Secure Hash Algorithm 1)

SHA-1, Amerikan Ulusal Güvenlik Ajansı (NSA) tarafından tasarlandı ve 1995 yılında yayınlandı. MD5'in yerini alması hedefleniyordu.

Çıktı Uzunluğu: 160 bit. (Onaltılık sistemde 40 karakter olarak yazılır).
Olası Kombinasyon Sayısı: $2^{160}$ (Yaklaşık $1.46 \times 10^{48}$)
Durum: Kırık (Broken), Güvensiz.
Kullanım Alanı: Git (versiyon kontrol sistemi) gibi yazılımlar objeleri tanımlamak için (güvenlik amaçlı olmayan) hala SHA-1 kullanmaktadır. Ancak SSL/TLS sertifikalarında veya parola saklamada kullanılması kesinlikle yasaklanmıştır.

Vaka Analizi: SHAttered Saldırısı (2017)

Google ve CWI Amsterdam araştırmacıları, 2017 yılında "SHAttered" adı verilen bir proje ile SHA-1 algoritmasını resmen kırdı. Araştırmacılar, içerikleri tamamen farklı olan iki farklı PDF dosyasının (biri sahte, biri gerçek bir sözleşme gibi) tamamen aynı SHA-1 hash değerine sahip olmasını sağladılar. Bu işlem için devasa bir Google bulut altyapısı kullandılar (9.223.372.036.854.775.808 adet SHA-1 hesaplaması yapıldı). Bu olaydan sonra Google Chrome ve Mozilla Firefox gibi tarayıcılar SHA-1 ile imzalanmış siteleri "Güvenli Değil" olarak işaretlemeye başladı.

3. SHA-256 (SHA-2 Ailesinden)

SHA-256, yine NSA tarafından tasarlanmış olan SHA-2 (Secure Hash Algorithm 2) ailesinin en popüler üyesidir. Günümüzde veri bütünlüğü ve dijital imzalama işlemlerinde "endüstri standardı" olarak kabul edilir.

Çıktı Uzunluğu: 256 bit. (Onaltılık sistemde 64 karakter olarak yazılır).
Olası Kombinasyon Sayısı: $2^{256}$ (Yaklaşık $1.15 \times 10^{77}$ - Evrendeki gözlemlenebilir atom sayısına yakındır).
Durum: Güvenli, Çarpışma (Collision) bulunamadı.
Kullanım Alanı: Bitcoin madenciliği (Proof of Work), SSL/TLS Web Güvenlik Sertifikaları, Blockchain teknolojileri, güvenli veri aktarımı.

Vaka Analizi: Çıktı Uzunluğu ve Karmaşıklık

Aynı girdi metni olan "hesaplamasyon" kelimesini düşündüğümüzde, bu üç algoritmanın çıktı uzunlukları (Karakter sayıları) görsel olarak aradaki farkı açıkça gösterir:

Girdi (Metin): hesaplamasyon
MD5 (32 Karakter): 5b62b0c36b8e2b834e2c8a143b811867 (Test etmek için MD5 aracımızı kullanabilirsiniz).
SHA-1 (40 Karakter): 9c2a382b6b553c20202161f365d774e54823927d
SHA-256 (64 Karakter): b8a95632193b2a26c483a9101c728e51b34c2b9a101b4a3901b2383c21a47b85

Görebileceğiniz gibi, algoritma geliştikçe çıktının bit uzunluğu artmakta, bu da çarpışma ihtimalini devasa (astronomik) oranlarda düşürmektedir.

Hangi Algoritmayı Seçmelisiniz?

Doğru aracı seçmek, kullanım amacınıza (senaryonuza) bağlıdır:

Senaryo / Amaç	Önerilen Algoritma	Neden?
Dosya / Ağ Aktarımı Hata Kontrolü	MD5	Son derece hızlıdır. Kötü niyetli bir değiştirme beklenmiyorsa (sadece ağ kopması gibi donanımsal hatalar bekleniyorsa) kullanımı idealdir.
Parola Saklama (Veritabanı)	Hiçbiri (Bcrypt, Argon2 Kullanın)	MD5, SHA-1 ve SHA-256 donanım üzerinde çok hızlı çalışır. Hızlı olmaları, saldırganların kaba kuvvet (brute force) ile parolaları saniyeler içinde kırmasına olanak tanır. Yavaş ve "tuzlanabilen" (salted) algoritmalar şarttır.
Dijital Sertifika, SSL, Blockchain	SHA-256	Şu anki standarttır. Bilinen hiçbir çarpışma (collision) zafiyeti yoktur. Yüksek güvenlik sağlar.
Git / Versiyon Kontrol Obje Tanımı	SHA-1	Git altyapısı bu algoritmayı tarihi nedenlerle kullanır, ancak bu güvenlik amaçlı değil, veri tanımlama amaçlıdır. Yeni sistemlerde SHA-256'ya geçişler başlamıştır.

Sonuç

Kriptografi sürekli gelişen bir alandır. Bugünün kırılamaz algoritmaları (SHA-256 gibi), yarın kuantum bilgisayarların (Quantum Computing) yaygınlaşmasıyla eskiyebilir. Geçmişin altın standardı olan MD5 ve SHA-1, artık güvenlik amaçlı projelerde kesinlikle kullanılmamalıdır.

Eğitim amaçlı denemeler yapmak, metinlerin ve dosyaların MD5 formatında (küçük harf, büyük harf, UTF-8 veya düz metin kodlamalarıyla) nasıl göründüğünü incelemek için MD5 Şifreleme/Çözme aracımızı güvenle kullanabilirsiniz.