ہیشنگ — یہ کیا ہے، کرپٹوگرافک الگورتھم اور اطلاقات

ہیشنگ کیا ہے؟

ہیشنگ ایک ہیش فنکشن کے حساب کا عمل ہے جو ان پٹ ڈیٹا کے ایک صوابدیدی سیٹ کو ایک مقررہ لمبائی کی بٹ سٹرنگ میں تبدیل کرتا ہے جسے ڈائجسٹ یا ہیش ویلیو کہا جاتا ہے۔ خفیہ کاری کے برعکس، ہیشنگ ایک یک طرفہ عمل ہے: ہیش سے اصل ڈیٹا کو بازیافت کرنا ناممکن ہے۔

ہیش فنکشنز کی بنیادی خصوصیات

کرپٹوگرافک ہیش فنکشنز میں چار لازمی خصوصیات ہوتی ہیں: تعینیت (ایک ہی ان پٹ ہمیشہ ایک ہی ہیش دیتا ہے)، ناقابل واپسی (ہیش سے ان پٹ کو بازیافت کرنا کمپیوٹیشنل طور پر ناممکن ہے)، برفانی تودے کا اثر (ان پٹ میں ایک بٹ تبدیل کرنے سے اوسطاً آدھے ہیش بٹس تبدیل ہو جاتے ہیں) اور تصادم مزاحمت (ایک ہی ہیش والے دو مختلف ان پٹ تلاش کرنا کمپیوٹیشنل طور پر ناممکن ہے)۔

خفیہ کاری سے فرق

ہیشنگ اور خفیہ کاری کے درمیان فرق کو سمجھنا ضروری ہے۔ خفیہ کاری ایک دو طرفہ عمل ہے: خفیہ کردہ ڈیٹا کو ایک کلید کے ذریعے ڈی کرپٹ کیا جا سکتا ہے۔ ہیشنگ ایک یک طرفہ عمل ہے: تبدیلی کے بعد ڈیٹا کو بازیافت نہیں کیا جا سکتا۔ یہ خاصیت ہیشنگ کو پاس ورڈ ذخیرہ کرنے کے لیے مثالی بناتی ہے: نظام صرف ہیش ذخیرہ کرتا ہے، اور ڈیٹابیس کے رساو کی صورت میں بھی پاس ورڈز محفوظ رہتے ہیں۔

کرپٹوگرافک اور غیر کرپٹوگرافک ہیش فنکشنز

تمام ہیش فنکشنز سیکیورٹی کے کاموں کے لیے یکساں طور پر موزوں نہیں ہوتے۔ کرپٹوگرافک اور غیر کرپٹوگرافک زمروں میں تقسیم موبائل ڈویلپمنٹ میں کسی مخصوص کام کے لیے الگورتھم منتخب کرتے وقت انتہائی اہم ہے۔

کرپٹوگرافک ہیش فنکشنز

یہ فنکشنز جان بوجھ کر سست اور پیچیدہ ہوتے ہیں تاکہ بروٹ فورس حملوں کو مشکل بنایا جا سکے۔ انہیں تصادم اور پیش تصویری حملوں کے خلاف مزاحم ہونا چاہیے۔ SHA-2 خاندان (SHA-224، SHA-256، SHA-384، SHA-512) NIST کے ذریعہ تصدیق شدہ ہے اور سرکاری نظاموں میں استعمال کے لیے تجویز کردہ ہے۔ پاس ورڈ ہیشنگ کے لیے، bcrypt، scrypt اور Argon2 الگورتھم ایڈجسٹ ایبل پیچیدگی کے ساتھ اضافی طور پر استعمال ہوتے ہیں۔

غیر کرپٹوگرافک ہیش فنکشنز

یہ فنکشنز سیکیورٹی کے بجائے رفتار کے لیے بہتر بنائے گئے ہیں۔ مثالیں: CityHash، MurmurHash، xxHash۔ یہ ہیش ٹیبلز، ڈیٹا ڈیڈپلیکیشن اور غیر اہم ڈیٹا کی تیز رفتار سالمیت کی تصدیق کے لیے چیکسم میں استعمال ہوتے ہیں۔ انہیں کبھی بھی پاس ورڈ ذخیرہ کرنے یا ڈیجیٹل دستخط کی تصدیق کے لیے استعمال نہ کرنا ضروری ہے — ان کی تیز رفتار انہیں بروٹ فورس حملوں کا شکار بناتی ہے۔

مقبول ہیشنگ الگورتھم

جدید موبائل ڈویلپمنٹ میں استعمال ہونے والے سب سے عام ہیشنگ الگورتھم کا جائزہ لیں۔ ہر ایک کی اپنی خوبیاں اور کمزوریاں ہیں۔

SHA-256

SHA-256 جدید کرپٹوگرافی کی علامت ہے، جسے FIPS 180-4 معیار کے حصے کے طور پر NIST تجویز کرتا ہے۔ الگورتھم 256-بٹ ڈائجسٹ تیار کرتا ہے اور TLS پروٹوکولز، بلاک چین نیٹ ورکس اور ورژن کنٹرول سسٹمز کا ایک بنیادی جزو ہے۔ NCC Group (2025) کی رپورٹ کے مطابق، SHA-256 سرٹیفکیٹ شفافیت پر دستخط کرنے کے لیے TLS سرٹیفکیٹس کے 96% میں استعمال ہوتا ہے۔

SHA-3 — SHA-2 کا جانشین

SHA-3 ہیش فنکشنز کا تازہ ترین خاندان ہے، جسے 2015 میں FIPS 202 کے طور پر NIST نے معیاری بنایا تھا۔ SHA-2 کے برعکس، جو Merkle–Damgård ساخت پر بنایا گیا ہے، SHA-3 ایک سپنج فنکشن کے ساتھ مختلف Keccak تعمیر پر مبنی ہے۔ یہ SHA-3 کو ان حملوں کے خلاف مزاحم بناتا ہے جو مستقبل میں SHA-2 کے خلاف پیدا ہو سکتے ہیں۔ موبائل ڈویلپرز کے لیے، SHA-3 Android 7.0 اور iOS 13 سے شروع ہونے والی معیاری کرپٹوگرافک لائبریریوں کے ذریعے دستیاب ہے۔

import java.security.MessageDigest

fun hashWithSHA256(input: String): String {
    val digest = MessageDigest.getInstance("SHA-256")
    val hashBytes = digest.digest(input.toByteArray())
    return hashBytes.joinToString("") { String.format("%02x", it) }
}

پاس ورڈز کے لیے bcrypt

عام مقصد کے کرپٹوگرافک ہیش پاس ورڈ ذخیرہ کرنے کے لیے ناکافی ہیں — وہ بہت تیز ہیں۔ bcrypt خاص طور پر پاس ورڈ ہیشنگ کے لیے ڈیزائن کیا گیا ہے: اس میں ایک نمک اور لاگت کا پیرامیٹر شامل ہے جو حساب کے وقت کو منظم کرتا ہے۔ لاگت کو دگنا کرنے سے ہیشنگ کا وقت دگنا ہو جاتا ہے، جس سے طاقتور ہارڈویئر پر بھی بروٹ فورس غیر موثر ہو جاتا ہے۔

import at.favre.lib.crypto.bcrypt.BCrypt

fun hashPassword(password: String): String {
    return BCrypt.create()
        .hashToString(BCrypt.MIN_COST, password.toCharArray())
}

fun verifyPassword(password: String, hash: String): Boolean {
    val result = BCrypt.verifyer().verify(password.toCharArray(), hash)
    return result.verified
}

Argon2 — جدید معیار

Argon2 پاس ورڈ ہیشنگ مقابلی (2015) کا فاتح ہے، جسے OWASP نے پاس ورڈ ہیشنگ کے لیے بہترین انتخاب کے طور پر تجویز کیا ہے۔ Argon2id وہ قسم ہے جو سائیڈ چینل اور ٹائم میموری ٹریڈ آف حملوں کے خلاف مزاحم ہے۔ bcrypt کے برعکس، Argon2 عملدرآمد کے وقت، میموری کے استعمال اور متوازی ہونے کی ڈگری کو علیحدہ علیحدہ ترتیب دینے کی اجازت دیتا ہے، جو مختلف اقسام کے حملوں کے خلاف لچکدار تحفظ فراہم کرتا ہے۔

موبائل ایپلیکیشنز میں ہیشنگ کا اطلاق

ہیشنگ موبائل ڈویلپمنٹ میں صارف کی تصدیق سے لے کر ڈاؤن لوڈ کردہ فائلوں کی سالمیت کی تصدیق تک بہت سے عملی کاموں کو حل کرتی ہے۔ آئیے اہم استعمال کے معاملات کا جائزہ لیتے ہیں۔

پاس ورڈ ذخیرہ

اہم استعمال کا معاملہ سرور کی طرف محفوظ پاس ورڈ ذخیرہ ہے۔ رجسٹریشن کے دوران، ایپلیکیشن سرور کو پاس ورڈ بھیجتی ہے، جہاں اسے bcrypt یا Argon2 کا استعمال کرتے ہوئے نمک کے ساتھ ہیش کیا جاتا ہے اور ڈیٹابیس میں محفوظ کیا جاتا ہے۔ لاگ ان کے دوران، سرور درج کردہ پاس ورڈ کو ہیش کرتا ہے اور محفوظ کردہ ہیش سے موازنہ کرتا ہے۔ OWASP Argon2id کو درج ذیل پیرامیٹرز کے ساتھ استعمال کرنے کی تجویز کرتا ہے: وقت 2 سیکنڈ، میموری 64 MB، متوازی ہونے کی ڈگری 4۔

فائل کی سالمیت کی تصدیق

OBB پیکجز یا مواد کی اپ ڈیٹس جیسی بڑی فائلیں ڈاؤن لوڈ کرتے وقت، موبائل ایپلیکیشنز ہیشنگ کے ذریعے ان کی سالمیت کی تصدیق کر سکتی ہیں۔ سرور فائل کا SHA-256 ہیش شائع کرتا ہے، اور ایپلیکیشن ڈاؤن لوڈ کردہ ڈیٹا کے ہیش کا حساب لگا کر ان کا موازنہ کرتی ہے۔ یہ یقینی بناتا ہے کہ منتقلی کے دوران فائل خراب یا تبدیل نہیں ہوئی۔ Google Play Console (2025) کے مطابق، تصدیق شدہ ایپلیکیشنز کی ہیش تصدیق خراب ڈاؤن لوڈ حملوں کے 99.9% تک کو روکتی ہے۔

کیشنگ اور ڈیڈپلیکیشن

ہیشز موثر کیشز اور ڈیٹا ڈیڈپلیکیشن بنانے کے لیے فعال طور پر استعمال ہوتے ہیں۔ کسی تصویر یا JSON ردعمل کا پتہ ہیش کیا جاتا ہے اور کیش کلید کے طور پر استعمال ہوتا ہے: بار بار کی درخواست پر، نظام ہیشز کا موازنہ کرتا ہے اور اگر ڈیٹا تبدیل نہیں ہوا تو محفوظ کردہ نتیجہ واپس کرتا ہے۔ اس کام کے لیے، MurmurHash یا xxHash جیسے غیر کرپٹوگرافک ہیش فنکشنز موزوں ہیں، جو زیادہ سے زیادہ کارکردگی فراہم کرتے ہیں۔

import java.security.MessageDigest

fun calculateFileHash(fileBytes: ByteArray): String {
    val digest = MessageDigest.getInstance("SHA-256")
    val hash = digest.digest(fileBytes)
    return hash.joinToString("") { String.format("%02x", it) }
}

fun verifyIntegrity(data: ByteArray, expectedHash: String): Boolean {
    val actualHash = calculateFileHash(data)
    return actualHash == expectedHash
}

ہیش استعمال کرتے وقت عام غلطیاں

تجربہ کار ڈویلپر بھی ہیشنگ کے ساتھ کام کرتے وقت غلطیاں کرتے ہیں۔ آئیے سب سے عام مسائل کا جائزہ لیتے ہیں جو کرپٹوگرافک تحفظ کے تمام فوائد کو ختم کر سکتے ہیں۔

MD5 یا SHA-1 کا استعمال

MD5 اور SHA-1 پرانے الگورتھم ہیں جن کے لیے عملی تصادم کے حملے موجود ہیں۔ MD5 کو 2004 میں چینی محققین کے ایک گروپ نے توڑا تھا (ایک گھنٹے میں تصادم)۔ SHA-1 کو 2017 میں Google اور Centrum Wiskunde & Informatica کی ایک ٹیم نے توڑا تھا (SHAttered حملہ)۔ نئے منصوبوں میں ان الگورتھم کا استعمال OWASP کی درجہ بندی کے مطابق ایک سنگین سیکیورٹی غلطی سمجھا جاتا ہے۔

نمک کے بغیر ہیشنگ

نمک کے بغیر پاس ورڈ ہیشنگ ایک سنگین کمزوری ہے۔ نمک ایک بے ترتیب سٹرنگ ہے، جو ہر صارف کے لیے منفرد ہوتی ہے، جسے ہیشنگ سے پہلے پاس ورڈ میں شامل کیا جاتا ہے۔ نمک کے بغیر، دو ایک جیسے پاس ورڈ ایک ہی ہیش پیدا کرتے ہیں، جو کریکنگ کے لیے رینبو ٹیبلز کے استعمال کی اجازت دیتا ہے۔ OWASP کم از کم 32 بائٹ لمبے کرپٹوگرافک طور پر مضبوط نمک کے استعمال کی تجویز کرتا ہے، جو ہر صارف کے لیے علیحدہ طور پر تیار کیا جاتا ہے۔

ناکافی تکرار

bcrypt یا Argon2 استعمال کرتے ہوئے بھی، بہت کم لاگت پیرامیٹر منتخب کر کے تحفظ کو کم کیا جا سکتا ہے۔ OWASP (2025) کے مطابق، bcrypt تکرار کی کم از کم تعداد 10 (2^10 = 1024 تکرار) ہونی چاہیے، اور Argon2id کے لیے، ہدف پلیٹ فارم پر حساب کا وقت کم از کم 1 سیکنڈ ہونا چاہیے۔ بہت کم پیرامیٹرز GPU فارمز پر بروٹ فورس حملوں کو عملی طور پر ممکن بناتے ہیں۔