1

Estou aprendendo agora sobre Hashing e descobri que o Python possui uma função chamada hash() que retorna o valor do hash de um objeto. O problema é, como eu posso converter esse valor para meu objeto original, no caso uma string?

def encode(obj):
    return hash(obj)

def decode(value):
    return # Como eu decodificaria aqui ?

password_hash = encode("pato345")
password = decode(password_hash)

2 Respostas 2

3

Não tem como obter a string original a partir do hash. Para entender o motivo, vamos ver como o hash funciona.

Segundo a documentação, hash recebe um objeto (qualquer um, não somente strings) e retorna um número.

Como há mais objetos possíveis do que números, sempre haverão vários objetos (sejam strings, sejam quaisquer outras coisas) cujos valores dos hashes são iguais.

Exemplo (rodando o interpretador do Python na minha máquina):

>>> hash('a')
1844645535655954614
>>> hash(1844645535655954614)
1844645535655954614

Obs: os números serão diferentes se você rodar na sua máquina, mais sobre isso no final da resposta.

No caso, temos uma string e um número que produzem o mesmo valor do hash (eu "roubei" um pouco passando um número na segunda chamada porque fiquei com preguiça de procurar duas strings diferentes que gerassem o mesmo hash).

Você ainda poderia ter uma classe que retorna esse mesmo valor:

class Test:
  def __hash__(self):
    return 1844645535655954614

print(hash(Test())) # 1844645535655954614

O código acima não é uma implementação útil, é só para mostrar que pode existir uma classe que retorna o mesmo hash que uma string.

Sendo assim, ao ter apenas o valor do hash, não é possível saber se ele veio de uma string, de um número, ou de uma outra classe qualquer. O hash não é um valor reversível. Mesmo duas strings diferentes podem gerar o mesmo hash (a dificuldade de encontrá-las depende do algoritmo, claro).


Não use isso para criptografia

Segundo a documentação, ao chamar hash(objeto), internamente é feita uma chamada para objeto.__hash__(). E sobre strings, vale destacar este trecho:

By default, the hash() values of str and bytes objects are “salted” with an unpredictable random value. Although they remain constant within an individual Python process, they are not predictable between repeated invocations of Python.

This is intended to provide protection against a denial-of-service caused by carefully-chosen inputs that exploit the worst case performance of a dict insertion, O(n^2) complexity. See http://www.ocert.org/advisories/ocert-2011-003.html for details.

Em tradução livre:

Por padrão, para objetos str e bytes, é adicionado um salt aleatório ao valor de __hash__(). Embora este permaneça constante ao longo de um processo Python, os valores não são previsíveis entre repetidas invocações do Python.

Isto é intencional, para proteger contra ataques de negação de serviço causados por entradas bem escolhidas que exploram o pior caso de desempenho de inserção em dicionários, que é O(n^2). Veja http://www.ocert.org/advisories/ocert-2011-003.html para mais detalhes.

Sobre o conceito de salt, sugiro esta leitura

Por isso eu disse que o valor de hash('a') que você vai obter não será necessariamente o mesmo que eu obtive acima. A cada invocação do Python, é gerado um salt aleatório que é usado no cálculo do hash, e os resultados serão diferentes. Isso não é um problema para o propósito da função hash, pois a documentação diz que "They are used to quickly compare dictionary keys during a dictionary lookup" (são usados para comparar chaves de um dicionário durante uma busca pela chave). Neste caso, colisões (diferentes objetos que possuem o mesmo valor de hash) não são necessariamente um problema (desde que não sejam tão frequentes) - leia mais sobre o assunto aqui.

De qualquer forma, como o valor de hash(objeto) pode variar a cada execução do Python, não é uma boa usá-lo para guardar o hash de uma senha, como sugeriu a outra resposta.

Vamos supor que primeiro o usuário cadastrou a senha e você guardou o hash:

hash_senha = hash(senha_que_usuario_cadastrou)
# gravar hash_senha

Um tempo depois o usuário digita a senha e você compara o hash dela com o que foi gravado anteriormente:

# obter o hash da senha gravada no passo anterior
hash_senha = ...
# comparar com o hash da senha que o usuário digitou
if hash_senha == hash(senha_digitada):
    # senha ok

Mas como o valor de hash pode variar (conforme já explicado acima), o if acima não garante que os hashes serão iguais, mesmo se a senha estiver correta (um simples restart no servidor, por exemplo, já fará com que o salt usado seja outro e o usuário não vai conseguir mais logar). Ou você pode dar o imenso azar de uma senha diferente gerar um hash igual ao que foi gravado no primeiro passo (esse é mais improvável, mas não é impossível).

Se quer guardar hashes de senhas, sugiro usar o módulo hashlib, que além de garantir que a mesma string sempre gera o mesmo hash, ainda possui algoritmos mais adequados para este fim (não entrarei em mais detalhes porque acho que já foge do escopo da pergunta). Por fim, se quer algo que seja reversível, então você não quer algoritmos de hash, e sim de encriptação.

2
  • Utilizando o hashlib eu vou ter o mesmo problema de valores de hash iguais para diferentes objetos ? Commented 23/01/2020 às 16:45
  • @JeanExtreme002 O módulo hashlib só trabalha com bytes - ou seja, qualquer objeto passado para os métodos deste módulo tem que ser antes convertido para bytes, inclusive as strings. Vc ainda terá colisões, não tem como fugir disso, pois a ideia do hash é justamente não ser reversível (não é um problema em si, os melhores algoritmos na verdade só dificultam descobrir essas colisões)
    – hkotsubo
    Commented 23/01/2020 às 17:43
0

Não podes. Hash funciona apenas num sentido e não é possível reverter. Se pretendes reverter deves utilizar encriptação.

Se apenas pretendes validar passwords, é possível fazer com hashing:

hashed_orig_password = hash(password)

(...)

possible_password = 'abc123'
if hash(possible_password) == hashed_orig_password:
  print('Password coincide')
else:
  print('Password não coincide')

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .