C# Tips | セキュリティ：SHA-256ハッシュを生成する

SHA-256ハッシュを生成することは「データの改ざん検知と識別のための基本的なセキュリティ技術」です

業務システムや Web API を開発する読者のみなさんにとって、 SHA-256ハッシュを正しく生成・利用することは、セキュリティと信頼性を高めるうえで非常に重要な要素になります。

ハッシュは次のような場面で使われます。

• ファイルの改ざん検知
• データの整合性チェック
• キャッシュキーの生成
• 一意な識別子の生成
• 署名やHMACの内部処理の一部

ここでは、プログラミング初心者の方でも理解できるように、 ステップバイステップで考え方を整理しながら、 実務で使える C# の「SHA-256ハッシュ生成ユーティリティ」を丁寧に解説していきます。

SHA-256ハッシュとは何か

ハッシュの基本的なイメージ

ハッシュとは、ある入力（文字列やファイルなど）から 「固定長の一見ランダムな値」を計算する関数のことです。

特徴として次のような性質があります。

• 同じ入力からは必ず同じハッシュ値が得られる
• 少しでも入力が変わると、ハッシュ値はまったく違うものになる
• ハッシュ値から元の入力を復元することは現実的には不可能

SHA-256の特徴

SHA-256は、256ビット（32バイト）のハッシュ値を生成するアルゴリズムです。

• 出力は通常、16進数（Hex）またはBase64で表現します
• セキュリティ用途でも広く使われる標準的なハッシュ関数です
• 「高速ハッシュ」であるため、パスワード保存などにはそのまま使うべきではありません（ここは後で少し深掘りします）

C#でSHA-256ハッシュを生成する基本ステップ

SHA-256ハッシュを生成する流れは、とてもシンプルです。

1. ハッシュしたい文字列やバイト列を用意する
2. SHA256クラスを使ってハッシュを計算する
3. 計算結果（バイト配列）を、Hex文字列やBase64文字列に変換する

この3ステップをユーティリティとしてまとめると、 業務コードの中で何度でも再利用できるようになります。

実務で使える SHA-256ハッシュ生成ユーティリティ（テンプレート）

まずは、文字列からSHA-256ハッシュを生成し、 Hex形式とBase64形式で返すユーティリティを作ります。

using System;
using System.Security.Cryptography;
using System.Text;

public static class Sha256Utility
{
    /// <summary>
    /// 文字列からSHA-256ハッシュを生成し、Hex形式で返します。
    /// </summary>
    public static string ComputeHex(string input)
    {
        byte[] bytes = Encoding.UTF8.GetBytes(input);

        using var sha256 = SHA256.Create();
        byte[] hash = sha256.ComputeHash(bytes);

        return BitConverter.ToString(hash).Replace("-", "").ToLower();
    }

    /// <summary>
    /// 文字列からSHA-256ハッシュを生成し、Base64形式で返します。
    /// </summary>
    public static string ComputeBase64(string input)
    {
        byte[] bytes = Encoding.UTF8.GetBytes(input);

        using var sha256 = SHA256.Create();
        byte[] hash = sha256.ComputeHash(bytes);

        return Convert.ToBase64String(hash);
    }

    /// <summary>
    /// 任意のバイト配列からSHA-256ハッシュを生成し、Hex形式で返します。
    /// </summary>
    public static string ComputeHex(byte[] data)
    {
        using var sha256 = SHA256.Create();
        byte[] hash = sha256.ComputeHash(data);

        return BitConverter.ToString(hash).Replace("-", "").ToLower();
    }
}

using System;
using System.Security.Cryptography;
using System.Text;

public static class Sha256Utility
{
    /// <summary>
    /// 文字列からSHA-256ハッシュを生成し、Hex形式で返します。
    /// </summary>
    public static string ComputeHex(string input)
    {
        byte[] bytes = Encoding.UTF8.GetBytes(input);

        using var sha256 = SHA256.Create();
        byte[] hash = sha256.ComputeHash(bytes);

        return BitConverter.ToString(hash).Replace("-", "").ToLower();
    }

    /// <summary>
    /// 文字列からSHA-256ハッシュを生成し、Base64形式で返します。
    /// </summary>
    public static string ComputeBase64(string input)
    {
        byte[] bytes = Encoding.UTF8.GetBytes(input);

        using var sha256 = SHA256.Create();
        byte[] hash = sha256.ComputeHash(bytes);

        return Convert.ToBase64String(hash);
    }

    /// <summary>
    /// 任意のバイト配列からSHA-256ハッシュを生成し、Hex形式で返します。
    /// </summary>
    public static string ComputeHex(byte[] data)
    {
        using var sha256 = SHA256.Create();
        byte[] hash = sha256.ComputeHash(data);

        return BitConverter.ToString(hash).Replace("-", "").ToLower();
    }
}

ユーティリティの使い方（例題）

文字列のハッシュを計算する例

string text = "Hello, SHA-256";

string hexHash = Sha256Utility.ComputeHex(text);
Console.WriteLine($"Hex: {hexHash}");

string base64Hash = Sha256Utility.ComputeBase64(text);
Console.WriteLine($"Base64: {base64Hash}");

string text = "Hello, SHA-256";

string hexHash = Sha256Utility.ComputeHex(text);
Console.WriteLine($"Hex: {hexHash}");

string base64Hash = Sha256Utility.ComputeBase64(text);
Console.WriteLine($"Base64: {base64Hash}");

このようにすることで、 同じ文字列からは常に同じハッシュ値が得られます。

ファイルのハッシュを計算する例（応用）

ファイルの改ざん検知などでは、 ファイルの内容を読み込んでハッシュを計算します。

using System.IO;

public static class FileHashUtility
{
    public static string ComputeFileSha256Hex(string filePath)
    {
        using var stream = File.OpenRead(filePath);
        using var sha256 = SHA256.Create();

        byte[] hash = sha256.ComputeHash(stream);
        return BitConverter.ToString(hash).Replace("-", "").ToLower();
    }
}

using System.IO;

public static class FileHashUtility
{
    public static string ComputeFileSha256Hex(string filePath)
    {
        using var stream = File.OpenRead(filePath);
        using var sha256 = SHA256.Create();

        byte[] hash = sha256.ComputeHash(stream);
        return BitConverter.ToString(hash).Replace("-", "").ToLower();
    }
}

Hex形式とBase64形式の違いを理解する

Hex形式の特徴

• 人間が見ても「それっぽい」感じがする
• デバッグやログ出力に向いている
• 文字数は 64文字（256ビット → 32バイト → 64桁の16進数）

Base64形式の特徴

• よりコンパクトに表現できる
• JSONや設定ファイルなどに埋め込みやすい
• URLに使う場合はBase64Url形式に変換することもあります

用途に応じて、HexとBase64を使い分けると便利です。

SHA-256の「セキュリティ用途」と「非セキュリティ用途」の違い（重要な深掘り）

ここが初心者の方にとって、少し誤解しやすいポイントです。

非セキュリティ用途（OKな使い方）

次のような用途では、SHA-256をそのまま使って問題ありません。

• ファイルの改ざん検知
• データの整合性チェック
• キャッシュキーの生成
• 一意な識別子の生成

これらは「総当たり攻撃される前提」ではないため、 高速ハッシュであるSHA-256を使っても問題になりにくいです。

セキュリティ用途（注意が必要な使い方）

次のような用途では、SHA-256をそのまま使うのは危険です。

• パスワードの保存
• APIトークンの保存
• 認証情報のハッシュ化

理由は、SHA-256が「高速すぎる」からです。 攻撃者が総当たり攻撃（ブルートフォース）を行うと、 1秒間に膨大な回数のハッシュ計算ができてしまいます。

このような場合は、PBKDF2 / bcrypt / Argon2 などの 「計算コストが高いハッシュ関数」を使うべきです。

SHA-256ハッシュ生成で絶対にやってはいけないこと

• パスワードをそのままSHA-256でハッシュして保存する
• APIトークンをそのままSHA-256でハッシュして保存する
• ハッシュ値を「暗号化」と誤解する
• ハッシュ値から元の値を復元できると勘違いする

これらは、セキュリティ事故の原因になります。

実務的ベストプラクティス

• データの整合性チェックや改ざん検知にはSHA-256を使う
• 認証情報の保存にはPBKDF2 / bcrypt / Argon2を使う
• ハッシュ値はHexまたはBase64で扱う
• ハッシュ値をログに出力する場合は、用途をよく考える
• ハッシュは「元に戻せない識別子」として扱う

まとめ：SHA-256ハッシュ生成は「安全なデータ識別と改ざん検知の基盤」

SHA-256ハッシュ生成の本質は次の3つです。

• 入力から一方向の「指紋」を作る
• 同じ入力からは常に同じハッシュが得られる
• 少しの変更でもまったく違うハッシュになる

これらの性質を理解し、 用途に応じて正しく使い分けることで、 業務システムの信頼性とセキュリティを大きく向上させることができます。

読者のみなさんがシステムを設計・実装する際、 このユーティリティをベースにすることで、 「ハッシュを使った安全なデータ管理」を自然に実現できるようになります。