एक डिज़ाइन स्टूडियो की रिकॉर्ड प्रबंधक सोमवार की सुबह एक सुर्खी पढ़ती है। उसमें लिखा है कि फाइलों की फिंगरप्रिंट बनाने का एक पुराना तरीका टूट गया है। उसने एक साल स्टूडियो की डिज़ाइन फाइलें सील करने में बिताया है, और हर सील SHA-256 नाम का तरीका इस्तेमाल करती है। वह सिर्फ एक बात जानना चाहती है। क्या उसकी सील की गई फाइलों के पीछे का तरीका 2026 में अब भी भरोसे के लायक है ? छोटा जवाब है हां, और वजह यहां है।
हैश क्या है, सरल शब्दों में
हैश एक छोटी फिंगरप्रिंट है जिसे कंप्यूटर किसी फाइल से बनाता है।
जब आप कोई फाइल सील करते हैं, तो सिस्टम फाइल की नकल नहीं करता। वह फाइल को एक गणितीय फंक्शन से गुज़ारता है और अक्षरों और अंकों की एक छोटी लड़ी पाता है। वह लड़ी ही हैश है, और लोग इसे फिंगरप्रिंट भी कहते हैं। फाइल में एक अल्पविराम बदलिए, तो फिंगरप्रिंट पूरी तरह बदल जाती है। दो अलग फाइलों की फिंगरप्रिंट एक जैसी नहीं होनी चाहिए। SHA-256 ऐसा ही एक फंक्शन है। 256 का मतलब है कि फिंगरप्रिंट 256 बिट लंबी है, इसलिए संभव मानों का दायरा बहुत बड़ा है, और इससे संयोग से मेल होना बेहद दुर्लभ हो जाता है। फिंगरप्रिंट से पीछे जाकर फाइल दोबारा नहीं बनाई जा सकती। इसलिए फिंगरप्रिंट साझा करना सुरक्षित है, भले ही फाइल निजी हो।
SHA-256 एक मानक क्यों है, अनुमान नहीं
SHA-256 एक आधिकारिक सार्वजनिक मानक में लिखा है जिसे कई सिस्टम मानते हैं।
SHA-256 NIST FIPS 180-4 में परिभाषित है, जिसे संयुक्त राज्य अमेरिका के National Institute of Standards and Technology (NIST) ने अगस्त 2015 में प्रकाशित किया। मानक का मतलब है कि तरीका पूरा लिखा हुआ है, हर किसी के पढ़ने के लिए खुला है, और हर जगह एक ही तरह इस्तेमाल होता है। नियम सार्वजनिक होने के कारण शोधकर्ता तरीके को खुलेआम परखते हैं। यह खुली जांच एक ताकत है, कमज़ोरी नहीं। जिन सिस्टम पर ज़्यादातर लोग रोज़ भरोसा करते हैं, वे इसे पहले से इस्तेमाल करते हैं :
- सुरक्षित वेबसाइटें, जब आपका ब्राउज़र ताला दिखाता है
- सॉफ्टवेयर अपडेट जो जांचते हैं कि डाउनलोड बदला तो नहीं
- कई बैंकिंग और भुगतान सिस्टम
SHA-256 ही क्यों, कुछ नया क्यों नहीं
नए तरीके मौजूद हैं, पर SHA-256 इसलिए चुना जाता है क्योंकि यह परखा हुआ है और लगभग हर जगह समर्थित है।
नए हैश तरीके मौजूद हैं, जैसे SHA-3 परिवार। वे भी अच्छे हैं। हम एक व्यावहारिक कारण से SHA-256 इस्तेमाल करते हैं। यह लगभग हर जगह समर्थित है, लगभग हर उस औज़ार में जो कोई फाइल खोलता या जांचता है। कोई सबूत तभी काम का है जब दूसरे लोग उसे सालों बाद, अपने ही कंप्यूटर पर, आम सॉफ्टवेयर से जांच सकें। व्यापक रूप से समर्थित तरीका यह आसान बना देता है। SHA-256 की आज यही पहुंच है, और इसकी सलाह अब भी दी जाती है, इसलिए यह ऐसे सबूत के लिए सही है जिसे लंबे समय तक टिकना है।
पुरानी चेतावनियां SHA-1 के बारे में थीं, SHA-256 के बारे में नहीं
NIST ने पुराने SHA-1 तरीके को हटा दिया, पर वह अब भी SHA-2 परिवार की सलाह देता है, जिसमें SHA-256 शामिल है।
शायद आपने पढ़ा हो कि कोई हैश तरीका टूट गया। वह खबर लगभग हमेशा SHA-1 के बारे में थी, जो एक पुराना तरीका है। 15 दिसंबर 2022 को NIST ने कहा कि वह SHA-1 को हटाएगा और लोगों को SHA-2 और SHA-3 परिवारों में जाने की सलाह दी, जैसा उसका हटाने का सूचना-पत्र बताता है। SHA-256 SHA-2 परिवार का हिस्सा है। तो जिन समीक्षाओं ने SHA-1 को हटाया, वही SHA-256 को चलन में रखती हैं। आज SHA-256 का इस्तेमाल इसी सलाह पर चलता है, उसे अनदेखा नहीं करता।
तय की गई समीक्षा का क्या मतलब है
NIST मानक को अपडेट करने की योजना रखता है, यह सामान्य रखरखाव है, तरीके के नाकाम होने का संकेत नहीं।
FIPS 180-4 के लिए NIST के पन्ने पर 7 मार्च 2023 की तारीख वाला एक नोट है, जो एक तय समीक्षा के बारे में है। समीक्षा सामान्य बात है। मानकों को समय के साथ साफ किया जाता है, स्पष्ट किया जाता है, और मौजूदा रखा जाता है। एक तय अपडेट का मतलब यह नहीं कि SHA-256 ने काम करना बंद कर दिया। इसका मतलब है कि मानक के ज़िम्मेदार अपना काम कर रहे हैं। मानक जैसे-जैसे बदलता है, हम उसका पालन करते हैं।
फिंगरप्रिंट क्या साबित करती है, और क्या नहीं
सील यह दिखाती है कि फाइल एक तय रूप में एक समय पर मौजूद थी, यह नहीं कि उसे किसने बनाया।
सीमाओं पर एक ईमानदार बात। SHA-256 फिंगरप्रिंट यह दिखाती है कि कोई खास फाइल, बिना बदलाव के, सील किए जाने के पल मौजूद थी। अगर बाद में कोई फाइल बदलता है, तो फिंगरप्रिंट मेल नहीं खाएगी, और बदलाव दिख जाता है। विवाद में यह मजबूत सबूत है। पर सील की कुछ सीमाएं हैं जिन्हें याद रखना चाहिए :
- यह नहीं दिखाती कि काम किसने लिखा, सिर्फ यह कि किसने और कब सील किया
- यह साबित नहीं कर सकती कि फाइल सील होने से पहले सही या सच्ची थी
- यह एक फाइल की रक्षा करती है, आपके दिमाग में किसी विचार की नहीं
सील SHA-256 का इस्तेमाल कैसे करती है
टाइमस्टैंप सेवा को सिर्फ फिंगरप्रिंट भेजी जाती है, आपकी फाइल नहीं।
जब आप कोई दस्तावेज़ सील करते हैं, तो सिस्टम उसकी SHA-256 फिंगरप्रिंट बनाता है। सिर्फ वही फिंगरप्रिंट एक भरोसेमंद टाइमस्टैंप अथॉरिटी को भेजी जाती है, RFC 3161 नाम के एक सार्वजनिक नियम के तहत। अथॉरिटी फिंगरप्रिंट पर तारीख और समय के साथ हस्ताक्षर करती है, और आपको एक प्रमाणपत्र और एक सार्वजनिक लिंक मिलता है जिसे कोई भी बिना खाते के जांच सकता है। हमारे सामान्य प्रश्न SHA-256 को उस तरीके के रूप में बताते हैं जो फाइल सील करते समय इस्तेमाल होता है।
तो, क्या यह अब भी एक सही चुनाव है ?
हां, SHA-256 2026 में दस्तावेज़ प्रमाण के लिए NIST से स्वीकृत और व्यापक रूप से भरोसेमंद तरीका बना हुआ है।
आपकी सील की गई फाइलों के पीछे का तरीका मजबूत है। SHA-256 NIST से स्वीकृत तरीका है, व्यापक रूप से भरोसेमंद है, और NIST अब भी SHA-2 परिवार की सलाह देता है जिसका यह हिस्सा है। रिकॉर्ड प्रबंधक भरोसे के साथ सील करना जारी रख सकती है। अगर आपके पास कोई अहम फाइल है, तो उसे साझा करने से पहले सील कीजिए, और तारीख वाला सबूत रखिए। शुरुआत कीजिए swisstrustlayer.com पर।
