Hash/Kripto
PBKDF2 Hash + Verify
Bir paroladan PBKDF2 (RFC 8018), HMAC-SHA1/256/384/512 ile anahtar türetin; yineleme sayısı ayarlanabilir.
PBKDF2 (RFC 8018) applies HMAC to a password and salt repeatedly to deliberately slow down computation — it's the oldest of the standardized algorithms for password hashing and encryption key derivation.
How to use it
- Derive: enter a password, pick an HMAC algorithm (SHA-1/256/384/512), and set the iteration count to get a derived key of the requested length.
- Verify: paste a password and an existing PBKDF2 hash to check whether they match, without recomputing it manually.
- More iterations means slower, more secure computation — tune the value to your server's response-time budget.
Common uses
- Deriving an encryption key from a user's password for a file container or a custom protocol.
- Checking a PBKDF2 implementation for compatibility across programming languages (the parameters must match exactly).
- Hashing passwords in systems that require a FIPS-compliant algorithm (PBKDF2 is NIST-approved).
Things to keep in mind
Unlike bcrypt and Argon2, PBKDF2 isn't memory-hard — it only requires CPU time, so it's less resistant to attacks on GPUs with many parallel compute units.
The recommended iteration count rises over time in NIST and OWASP guidance as hardware gets faster — check against current recommendations periodically.
Bu araç hakkında makale: PBKDF2: en eski anahtar germe standardı
Sıkça sorulan sorular
Parola hash'leme için PBKDF2, bcrypt veya Argon2'den nasıl farklıdır?
PBKDF2, kaba kuvveti yavaşlatmak için bir HMAC hash fonksiyonunu tekrar tekrar uygular, ancak bcrypt veya Argon2'nin aksine bellek açısından zorlu değildir, bu yüzden GPU ile kırmak nispeten daha ucuzdur. Hâlâ yaygın olarak kullanılır ve FIPS onaylıdır, ancak yeni sistemler için genellikle Argon2 tercih edilir.
İterasyon sayısı neyi kontrol eder ve ne kadar yüksek olmalıdır?
İterasyon sayısı, altta yatan hash'in kaç kez uygulanacağını belirler ve hızı doğrudan kaba kuvvet direnciyle takas eder. Güncel öneriler SHA-256 için yüz binlerce iterasyon önerir ve donanım hızlandıkça zamanla artırılır.
PBKDF2 neden bir tuza (salt) ihtiyaç duyar?
Tuz, aynı parolaların farklı çıktılar üretmesini sağlar, saldırganların önceden hesaplanmış gökkuşağı tablolarını kullanmasını engeller ve her hash'e ayrı ayrı saldırmalarını zorunlu kılar.
PBKDF2'nin kullandığı temel hash fonksiyonunun önemi var mı?
Evet. Eski uygulamalar genellikle varsayılan olarak HMAC-SHA1 kullanırdı — HMAC yapısı içinde bu kritik bir zafiyet değildir, ancak modern öneriler daha büyük bir güvenlik payı için hissedilir bir hız kaybı olmadan kesinlikle HMAC-SHA256 veya daha güçlüsünü tavsiye eder.
PBKDF2, parola saklama dışında nerede kullanılır?
PBKDF2, parolalardan kriptografik şifreleme anahtarları türetmek için yaygın olarak kullanılır — örneğin Wi-Fi için WPA2/WPA3'te ve birçok şifreli dosya konteyneri formatında.