ハッシュ関数徹底解説：基本定義から代表的アルゴリズム、実務運用と最新動向まで
エバープレイ編集部ハッシュ関数とは — 基本定義
ハッシュ関数（hash function）は、任意長の入力データ（メッセージ）を固定長の出力（ハッシュ値、ダイジェスト、要約）に変換する関数です。出力は通常16進数で表記され、元のデータを短い識別子として扱えるようにします。情報理論的には可逆ではなく、同じハッシュ値を持つ異なる入力が存在し得るため、衝突（collision）の可能性を常に含みます。
ハッシュ関数に期待される性質
- 決定性：同じ入力は常に同じ出力を返す。
- 固定長出力：入力長に関係なく出力長が一定。
- 効率性：計算が速く、実装が容易。
- 雪崩効果（Avalanche）：入力の1ビット変化で出力の多くが変わる。
- 暗号学的性質（暗号学的ハッシュ）：
- 耐第一原像性（preimage resistance）：与えられたハッシュ値から元の入力を見つけるのが難しい。
- 耐第二原像性（second-preimage resistance）：ある入力に対して同じハッシュを与える異なる入力を見つけるのが難しい。
- 耐衝突性（collision resistance）：任意の2つの異なる入力で同じハッシュ値を作るペアを見つけるのが難しい。
構造と代表的な設計
ハッシュ関数の内部構造は多様ですが、暗号学的ハッシュの代表的な構造としては次の2つが有名です。
- Merkle–Damgård 構造：ブロック単位で逐次圧縮する方式。MD5、SHA-1、SHA-2（SHA-256/512）はこの派生。長さ拡張攻撃に弱い設計上の特徴がある。
- スポンジ関数（Sponge）構造：内部状態を吸収し、任意長の出力を生成できる。SHA-3（Keccak）はこの方式。
代表的なハッシュ関数と現状
- MD5：出力128ビット。衝突が実用的に生成可能（2004年頃の研究が決定打）。現在は暗号学的用途には不適。
- SHA-1：出力160ビット。攻撃が進み、2017年にGoogleらが実証的な衝突（SHAttered）を公開。暗号学的用途には推奨されない。
- SHA-2（SHA-256, SHA-512 等）：現時点で堅牢とされ広く使われる。FIPSで標準化。
- SHA-3（Keccak）：スポンジ構造を採用。2015年に標準化。SHA-2とは別ファミリで補完的。
- BLAKE2 / BLAKE3：高速で安全性の高い設計。高速な一般用途に適す。
- SipHash：ハッシュテーブルなどでのハッシュDOS攻撃対策向けの短い鍵付きハッシュ。
- 非暗号学的ハッシュ（例：MurmurHash, CityHash）：高速でハッシュテーブル用途に最適化されているが、暗号学的安全性はない。
用途
- データ整合性検査：ファイルの改ざん検出やダウンロードの整合性確認（ただし暗号的保証が必要な場合は安全なハッシュを使用）。
- デジタル署名／証明：長いメッセージを短くして署名対象にする（署名はハッシュ値に対して行う）。
- パスワード保存：単純ハッシュでは不十分。ソルト＋反復やメモリハードなKDF（Argon2, bcrypt, scrypt, PBKDF2）の使用が必要。
- ハッシュテーブル（連想配列）：キーの高速な位置決め。
- Merkleツリー、ブロックチェーン、PoW：データ構造や合意アルゴリズムで使用。
- メッセージ認証コード（HMAC）：共有鍵とハッシュを組み合わせた認証（RFC 2104）。
攻撃と脆弱性
ハッシュ関数の脆弱性は主に衝突や原像攻撃に関するものです。MD5やSHA-1の衝突実証は、これらをデジタル署名や証明の根幹に使うことが危険であることを示しました。また、Merkle–Damgård 構造を用いるハッシュは「長さ拡張攻撃」に弱く、単純に H(hash(m) || padding || extra) といった操作で望ましくない構成になる場合があります。
パスワード保護では、GPU/ASICを用いた総当たり（ブラートフォース）攻撃が現実的であり、単純な高速ハッシュ（例：SHA-256）を使うだけでは不十分です。そこではスローダウンやメモリ消費を要求するアルゴリズム（Argon2など）が推奨されます。
設計上のベストプラクティス
- 暗号学的用途では、MD5やSHA-1は使用しない（既に破られている）。
- 一般的なデータ整合性には SHA-256/512 や BLAKE2 を選択する。長期的に安全を期すなら SHA-3 や BLAKE3 の採用を検討。
- パスワード保存には必ずソルトを付与し、Argon2id や bcrypt/scrypt/PBKDF2 のような適切な KDF を使用する。OWASP のガイドラインに従う。
- メッセージ認証には HMAC（適切なハッシュと鍵）を使うか、より高レベルの認証暗号（AEAD）を利用する。
- ハッシュの出力ビット長は攻撃者の計算力を考慮して決定（一般に256ビット程度が安全余裕あり）。
- 既存システムで脆弱なハッシュを使っている場合は移行計画を立てる（例：SHA-1からSHA-256へ、パスワードの再ハッシュなど）。
導入・運用の現実的注意点
ハッシュアルゴリズムの選択だけでなく、実装の注意も重要です。サイドチャネル攻撃（時間差など）に注意して定数時間比較を行うこと、ランダムなソルトの利用、鍵管理の徹底、ライブラリの脆弱性や誤用（例えばパディングや長さ拡張の影響）を避けるために標準化されたライブラリやプロトコルを利用することが推奨されます。
まとめ
ハッシュ関数はITやセキュリティにおける基礎的かつ多用途な道具です。用途に応じて暗号学的安全性、性能、実装の難易度を考慮し、最新の研究動向や攻撃実証に応じてアルゴリズムを選び、脆弱なものは速やかに置き換えることが重要です。特にパスワードや署名などセキュリティの核となる用途では、単なるハッシュ関数の理解だけでなく適切な周辺対策（ソルト、KDF、HMAC、AEADなど）を組み合わせることが必要です。
参考文献
- FIPS PUB 180-4 — Secure Hash Standard (SHA)
- FIPS PUB 202 — SHA-3 Standard: Permutation-Based Hash and Extendable-Output Functions
- H. Krawczyk, M. Bellare, R. Canetti, "HMAC: Keyed-Hashing for Message Authentication" (RFC 2104)
- RFC 2898 — PKCS #5: Password-Based Cryptography Specification (PBKDF2)
- OWASP — Password Storage Cheat Sheet
- MD5 衝突に関する研究（Wang et al., 実用的衝突の報告）
- Google/CMU — SHAttered: 実証的な SHA-1 衝突（2017）
- Argon2 — Password Hashing Competition 勝者の仕様（Argon2）
- BLAKE3 — 高速ハッシュ関数の公式サイト
- SipHash — ハッシュ表向けの短鍵付きハッシュ（作者ページ）
