暗号学的ハッシュ関数でbit長が適切って作れますか

質問

SHA256が（224かもですが）最小bit長で、
入力に1bitでも、また2bit以上入力値全体まで、異なれば、
出力のうちほぼ半数のbitが反転する、かつその
反転するbit位置は複数の入力値に対して法則性はなく、
ほぼランダムである。

という暗号学的ハッシュ関数であるのは、正しいですか？

また、データの暗号化に使われるパスワードは4096bitを推奨との
事ですが、
SHA4096などその時に合った暗号学的ハッシュ関数を
作るのは難しいのですか？
素人考えでは、今256bitで衝突が見つかってないなら
4096bitならbit長大きいのだから作れそうな気もしますが
やはりそういう問題ではないのでしょうか？

もし作れるとしたら、データの暗号化に使うパスワードを
SHAなんとか・・・の出力そのまま使っては、危険でしょうか？

というかデータに限らず認証のパスワードでも
SHAなんとかの出力そのままを使うのは何かまずいのでしょうか？

もしできたらパスワードを覚えなくてよいのでいいかと思ったのですが。

パスワードは「IDのパスワード」をSHAなんとかに通した値ということで。
IDは「種パスワード＋なんとかのサイト」をSHAなんとかに通した値ということで。

種パスワードはしょうがないからネットをパスワードの決め方とかで検索して
出てきた方法を見て理解して自分なりにアレンジして、最後にちゃんと頭に記憶して。

とりあえずここまで、どうでしょうか。

回答No.3

mtaka2

もう一つの質問の方にも書きましたが、この手法でパスワードを生成する場合、
あるサイトでのパスワードを解読するのに、種パスワードが判明する必要はありません。
例えSHA-256の入力が256bit以上あったとしても、SHA-256の出力である256bit分だけ試行すれば表パスワードが解読できます。

ですが、そこで判明するのは、そのサイトにおけるパスワードだけです。
他のサイトでのパスワードは、ソルト(「＋なんとかのサイト」の部分)が違いますから、
種パスワードがバレない限り大丈夫なわけです。

つまり、本手法のメリットは、
・サイトごとに別々のパスワードを使うので、あるサイトのパスワードが流出しても、他のサイトへの認証に影響しない
・共通の種パスワードから各サイトのパスワードを生成するので、個々のパスワードを覚える必要がない
・各サイトのパスワードから種パスワードを推測するのは事実上不可能
という点にあります。

ところで、SHA-256の出力をパスワードに使える文字列に変換した場合、Base64でも43文字になります。
ですが一般的なサイト認証では、パスワードにそれだけの長さを使えるところはあまり多くないと思います。
私の場合、それに応じてハッシュ値を切り詰めて短くしたものパスワードにしています。
個別パスワードの総当たりに対する強度は、そのパスワードの長さに応じたかなり弱いものでしかありません。

ですが、暗号の場合、手元に「暗号文と平文の組」を入手してから、それを元に解読するので、CPUパワーを存分に使えますが、
サイト認証の場合、「手元で解読」なんてことはできませんから「ネットを通して総当たり」みたいなことしかできません。
「1秒間に100万回の試行」なんてとうてい不可能ですので、8文字(=Base64で48bit)でも実用上問題ないでしょう。
仮に1秒間に100回の試行として、1000台並列で90年かかります。

一方で、Web上で使うパスワードの場合、「総当たりで解読される危険性」よりも
「個人情報の流出によってパスワードが漏れる危険性」の方が、可能性は高いと考えています。

その時、そのサイトでのパスワードは諦めるとして、
「漏れたあるサイトのパスワードから、他のサイトのパスワードが解読できるか」=「種パスワードが解読できるか」という点については、
まさにハッシュ関数本来の「衝突可能性」の問題になり、
ハッシュ関数の出力長が256bitしかなくても、
入力の方が十分な長さがあれば問題ないということになります。

お礼

なんか向こうの質問の補足にしたほうが良かったですかね？
なんかいろいろすみません。
あと切り詰めるのはその通りで、私もそうしてます。
といっても殆ど放置ですが・・・
でそれで気をつけたほうがいいのは、確か独自ドメインのサービスで、
IDに当たるものがなくEメールアドレスとサイト認証パスワードだけ
だったので、サイト認証パスワードとEメールアドレスの
パスワード（これもフリーメール）が同じになってしまって
無駄になったことがあります。

なので自分が利用しそうな全Webサービスについて
アカウント登録時に必須の入力項目を全部書き出して
エクセルみたいので整理していかないと
なんかドはまりしてまたすぐ何もかも厭に＾＾；なることが
あります・・・
大げさに言えば手動でネットサービス全部の
最大公約数的な認証API？を作ってるような
もんですからね・・・
自分はその辺で気力が尽きました・・・

補足

こちらでも毎回ありがとうございます。
認証用途なら256bitでも強度は充分で、しかも
ハッシュなら被害拡大防止が容易ということですね。

で向こうの質問の続きかもしれないのですが
データ暗号化の鍵としてのパスワードは
（擬似）乱数で4096bitを用いると。
すると暗号化データの数だけ4096bitのパスワードが出来る
ことになるので使っていくと結構な量になるのでは
と思いますがこれはどこに保存しておいたらいいのでしょうか？
手元のPCだけだとHDDが飛んだりしたときに（まぁないでしょうが）
どうにもならないですよね。かといってバックアップというのも
それだけ管理の手間がかかるし。
できればネット上のオンラインストレージに置いておきたいのですが
それはやっぱりいくらSSLとかIPｖ6とかやっても通信経路途中で
保護されてない区間があるとかそもそもIPv6にストレージサイトが
対応してないとかで本末転倒というか何してるんだか
分からないというか無駄というか無意味なんでしょうか。
やはりRAIDだかUSBメモリだかで手元のPCと同拠点に
物理媒体としてバックアップ必須なのでしょうか。
金かかるし紛失したりするしであまりこれ以上物理的な
モノを増やしたくないのですが・・・