Хеширование против шифрования против подписи

Три примитива и единственное свойство, которое их разделяет

Самый быстрый способ держать их в голове — задать каждому один вопрос: можно ли вернуть оригинал?

• Хеширование — это односторонняя функция. SHA-256("hello") всегда даёт один и тот же 256-битный дайджест, но unhash() не существует — вход уничтожен. Проверяешь, пересчитав хеш кандидата и сравнив. Его работа — целостность и отпечаток: совпали ли эти байты бит-в-бит? Он ничего не говорит о конфиденциальности (дайджест публичен) и ничего о том, кто его создал.
• Шифрование — обратимо при наличии ключа. encrypt(plaintext, key) даёт шифротекст, который decrypt(ciphertext, key) превращает обратно в открытый текст. Его работа — конфиденциальность: держать содержимое в секрете от всех без ключа. Само по себе классическое шифрование не доказывает, что сообщение не подменили, — поэтому современные системы используют аутентифицированное шифрование (AES-GCM, ChaCha20-Poly1305), привинчивающее тег целостности.
• Подпись — асимметричная. Подписываешь приватным ключом, а проверяет кто угодно соответствующим публичным. Её работа — аутентичность (это пришло от держателя приватного ключа) плюс целостность (и не было изменено с тех пор). Она намеренно не скрывает содержимое — подписанный JWT читается кем угодно.

Чего каждый из них не гарантирует — режимы отказа

Пробои берутся из негативного пространства: когда примитиву приписывают свойство, которое он никогда не обещал.

Хеширование — не шифрование. Хеш безопасен для публикации, но не для секрета. «Мы хешируем СНИЛСы» не защищает ничего, если пространство входов мало — атакующий хеширует все возможные значения (их порядка 10⁹) и сопоставляет за секунды. Хеширование скрывает только высокоэнтропийное и неугадываемое. Поэтому же простой хеш неверен для паролей: пароли низкоэнтропийны, так что нужен медленный, посоленный парольный хеш (bcrypt, scrypt, Argon2id), весь смысл которого — быть дорогим в вычислении, побеждая офлайн-перебор. SHA-256(пароль) — это миллиарды попыток в секунду на GPU; Argon2id с правильными параметрами — единицы.

Шифрование — не целостность и не аутентификация. Классический шифротекст в режиме CBC может быть изменён атакующим, который не может его прочитать, — переверни биты в шифротексте, перевернутся биты в расшифрованном открытом тексте (семейства атак padding-oracle и bit-flipping). «Оно зашифровано» не значит «оно неподменено», если ты не используешь AEAD-режим, который аутентифицирует. И шифрование ничего не говорит о том, кто отправил: общий ключ означает, что сообщение мог создать любой, у кого этот ключ есть.

Подпись — не шифрование. Подпись прикреплена к данным, которые остаются в открытом виде. Люди регулярно думают, что подписанный JWT «безопасен», и кладут секреты в его нагрузку — но нагрузка это просто base64, читаемый кем угодно, кто перехватит токен. Подпись защищает от подделки и подмены, но никогда от подслушивания.

Выбор верного примитива под задачу

Зрелый ход — отображать требование на примитив, а не имя алгоритма на ощущение «надёжности». Пройди требование: мне нужно держать это в секрете (конфиденциальность → шифрование), доказать, что это не изменили (целостность → хеш/MAC/подпись), доказать, кто это создал (аутентичность → подпись или MAC), или хранить секрет, который мне нужно лишь проверять, никогда не считывая обратно (односторонне → парольный хеш)?

Реальная система обычно композирует их, а не выбирает один. TLS 1.3 — протокол за каждым https:// — использует все три в одном рукопожатии: асимметричную подпись для аутентификации сертификата сервера, асимметричный обмен ключами для согласования секрета, этот секрет питает аутентифицированное шифрование сессии, а хеширование (HKDF) вплетено в вывод ключей и в транскрипт, доказывающий, что само рукопожатие не было подменено. Понимание, какой примитив делает какую работу внутри этого стека, — разница между настройкой TLS и слепым копированием.