免費線上資安工具

13 種免費線上資安工具：密碼產生器、Hash 雜湊、JWT 解碼、檔案校驗碼、雜湊辨識等常見需求

關於安全工具

安全工具集為資安人員、後端工程師、合規 / 隱私顧問日常工作而生。Hash 工具：MD5 / SHA-1（已 deprecated 但檔案完整性檢查仍用）/ SHA-256 / SHA-512 / SHA-3 / BLAKE3；HMAC 計算（搭配 secret key 的 hash，API 簽名常用）；對稱加密：AES-256-GCM（你的瀏覽器內 WebCrypto API，非 Math.random()）；非對稱加密 / 簽名：RSA-2048 / RSA-4096 / Ed25519 金鑰對產生 + 訊息簽名 / 驗證；密碼強度檢查（zxcvbn 演算法 + 真實破解時間估計）；JWT 工具（解碼 + 簽名驗證 + 偽造測試）；CSRF Token / Session ID 安全產生器；Bcrypt / Argon2 密碼雜湊（webassembly 實作）；資料外洩檢查（haveibeenpwned API hash range query 隱私不洩漏）；TLS 版本相容性檢查；Privacy 自我審計（Cookie inventory、第三方追蹤掃描）。

常見問題

為什麼不要用 SHA-256 直接存密碼？

SHA-256 設計目標是「快速雜湊」（10 億 hash/秒 GPU 可達）— 這對檔案 checksum 是優點，對密碼是災難（暴力破解快）。密碼專用雜湊（bcrypt / scrypt / Argon2）刻意慢（每秒幾千次）+ memory-hard（GPU / ASIC 也快不起來）。用 SHA-256 存密碼 → 8 位密碼幾天內可破；用 bcrypt cost=12 → 幾年。新系統強烈建議 Argon2id，OWASP 2024 推薦設定為 m=64MB / t=3 / p=4。

AES-256 比 AES-128 安全多少？

現實上「都不可破」— AES-128 的暴力破解需 2^128 次嘗試（宇宙年齡的 10^21 倍），AES-256 是 2^256（更多但都已超出物理可能）。實務差異：(1) 量子電腦（Grover algorithm 將暴力減半 → AES-128 變 2^64 還是不行，AES-256 變 2^128 仍安全）；(2) AES-256 略慢但 modern CPU 有硬體加速（AES-NI），實測差距 < 5%。**選 AES-256-GCM**（GCM 提供認證加密 + 防 nonce reuse 攻擊）。

JWT 偽造測試該怎麼做？

我們的 JWT 工具支援常見攻擊測試：(1) Algorithm: none（部分舊 lib 不驗證簽名）；(2) HS256 → RS256 confusion（用 public key 當 HMAC secret）；(3) Weak HS256 secret 字典攻擊；(4) Expired token 但伺服器不驗 exp。**這只能用於你自己擁有的系統做安全測試**，攻擊他人系統違法（刑法第 358-362 條）。我們工具僅作教學 / pentest。

haveibeenpwned 查 Email 會洩漏嗎？

**不會**。haveibeenpwned 用 k-anonymity（hash range query）：你 SHA-1 你的密碼後，**只送前 5 個字符**到 API，API 回傳所有以這 5 字符開頭的 hashes（200-1000 筆），你在本地比對自己完整 hash。所以 API 端永遠不知你查的密碼是什麼。我們工具用同樣機制查 Email，且全部在瀏覽器內完成，連我們伺服器都看不到你查什麼。

瀏覽器 WebCrypto vs Math.random() 差很多嗎？

差非常多。Math.random() 用 xorshift（偽隨機，可預測）— 用於遊戲擲骰子可，**用於密碼 / token / nonce 是嚴重資安漏洞**（過去有實際 CVE）。WebCrypto 的 crypto.getRandomValues() 是 OS 級 CSPRNG（Linux /dev/urandom、macOS SecRandom、Windows BCryptGenRandom），完全不可預測。我們所有「隨機」工具都用 WebCrypto，不用 Math.random()。

分享此工具： Facebook LINE X