Die Größe der Eingabe spielt keine Rolle. Aufgrund des Geburtstagsparadoxons benötigen Sie nicht mehr als die Größe des Hash, um Kollisionen zu garantieren. Der beste Weg, um Kollisionen zu vermeiden, besteht darin, einen stärkeren Hash zu verwenden, der für sie nicht anfällig ist, wie z. B. SHA-2. Sie beschreiben jedoch einen schwierigeren Angriff als einen Kollisionsangriff, der als Preimage-Angriff bezeichnet wird und vor dem MD5 sicher ist.

Es gibt drei Arten von Angriffen ^{* , was dazu führt, dass zwei Dateien denselben Digest haben:}

• 1. Vorbild - Suchen Sie eine Eingabe, die in einen bestimmten Hash aufgelöst wird.

• 2. Vorbild - Ändern Sie eine Eingabe, ohne den resultierenden Hash zu ändern.

• Kollision - Finden Sie zwei unterschiedliche Eingaben mit demselben Hash.

Diese werden als Angriffe bezeichnet, wenn sie effizienter als durch Brute-Force-Suche ausgeführt werden können. Kollisionen können immer noch auf natürliche Weise auftreten, und tatsächlich werden sie aufgrund des Pigeonhole-Prinzips mit einer nicht trivialen Menge an Eingaben garantiert, aber Hashes sind so konzipiert, dass sie absichtlich erschweren ausführen. Bei einem Hash mit einer Ausgabe von der Größe von MD5 ist die Wahrscheinlichkeit einer zufälligen, versehentlichen Kollision äußerst gering. Selbst wenn Sie 6 Milliarden zufällige Dateien pro Sekunde hashen, würde es 100 Jahre dauern, bis Sie eine 50% ige Chance erhalten, dass zwei Hashes kollidieren. MD5 eignet sich hervorragend zum Erkennen versehentlicher Beschädigungen.

Eine starke n -Bit-Hash-Funktion hat eine Sicherheitsstufe von 2 ^{n sup> gegen 1. und 2. Preimage-Angriffe und eine Sicherheitsstufe von 2 n / 2 sup> gegen Kollisionsangriffe. Für einen 128-Bit-Hash wie MD5 bedeutet dies, dass er eine Sicherheitsstufe von 2 128 gegen Vorbilder und 2 64 gegen Kollisionen aufweist. Wenn sich Angriffe verbessern, wird die tatsächliche Sicherheitsstufe, die sie bieten kann, langsam verringert.}

MD5 ist anfällig für einen Kollisionsangriff, für dessen Ausnutzung nur 2 ^{18 sup> Hash-Aufrufe anstelle der beabsichtigten 2 64 sup> erforderlich sind. Sofern der Angreifer nicht beide Dateien generiert, handelt es sich nicht um einen Kollisionsangriff. † sup> sup> Ein Angreifer, der über eine Datei verfügt und diese böswillig ohne die ändern möchte Das Ändern von Hashs müsste einen zweiten Preimage-Angriff starten, der mit moderner Technologie völlig unmöglich gegen MD5 ist (der beste Angriff hat eine Komplexität von 2 123,4 sup) >, verglichen mit dem theoretischen Maximum von MD5 von 2 128). Kollisionsangriffe sind in verschiedenen Situationen relevant. Wenn Sie beispielsweise eine ausführbare Datei erhalten, die von einem Angreifer ohne Hintertür erstellt wurde, können Sie sie hashen und den Hash speichern. Diese ausführbare Datei könnte dann später durch eine Backdoor-Version ersetzt werden, aber der Hash wäre der gleiche wie der gutartige! Dies ist auch ein Problem für Zertifikate, bei denen jemand ein Zertifikat für eine Domain einreichen könnte, die er besitzt, das Zertifikat jedoch absichtlich mit einem Zertifikat für eine Domain kollidiert, die er nicht besitzt.}

Es ist sicher, MD5 zum Überprüfen von Dateien zu verwenden, solange der gespeicherte Hash nicht manipuliert wird und als korrekt eingestuft werden kann und solange die zu überprüfenden Dateien nicht von einem Angreifer erstellt (oder beeinflusst!) Wurden. Es kann dennoch eine gute Idee sein, einen stärkeren Hash zu verwenden, um zu verhindern, dass ein potenzieller praktischer Preimage-Angriff gegen MD5 in Zukunft Ihre Daten gefährdet. Wenn Sie einen modernen Hash wünschen, der sehr schnell und dennoch kryptografisch sicher ist, sollten Sie sich BLAKE2 ansehen.

_{* Während es andere Angriffe gegen MD5 gibt, wie z Längenerweiterungsangriffe, die alle von @LieRyan erwähnten Merkle-Damgård-Hashes betreffen, sind für die Überprüfung der Integrität einer Datei anhand eines bekanntermaßen korrekten Hashs nicht relevant. sub>}

_{^{† sup> Eine Variante des Kollisionsangriffs, die als Kollisionsangriff mit ausgewähltem Präfix bezeichnet wird, kann zwei beliebige Nachrichten (Präfixe) aufnehmen und zwei Werte finden, die, Wenn an jede Nachricht angehängt, führt dies zu einem kollidierenden Digest. Dieser Angriff ist schwieriger durchzuführen als ein klassischer Kollisionsangriff. Wie der Längenverlängerungsangriff gilt dies nur für Merkle-Damgård-Hashes. Sub>}}

Es hängt davon ab, gegen was Sie sich verteidigen möchten.

Sicherheit ist niemals ein Spiel für alle. Wenn es so wäre, gäbe es nicht 12941 verschiedene Hash-Algorithmen. Stattdessen müssen Sie verstehen, dass jede Sicherheitsmaßnahme Sie gegen eine bestimmte Art von Angriff schützt. Sie geben ein Kennwort in Ihren Computer ein, um sich gegen zufällige Personen zu schützen, die darauf zugreifen. Dies liegt nicht daran, dass es so viel Spaß macht, bei jeder Anmeldung whereD1DweG0sowron6 einzugeben.

Bei Hash-Algorithmen können Sie dies grob tun klassifizieren Sie sie als "kryptografische Hashes" und "nicht kryptografische Hashes". Kryptografische Hash-Algorithmen sind so konzipiert, dass sie einer Reihe von Angriffen standhalten, während nicht-kryptografische Hashes so schnell wie möglich ausgeführt werden. ^{1 sup> MD5 wird beispielsweise als kryptografischer Hash betrachtet, ist jedoch so fehlerhaft, dass dies der Fall ist Nur als nicht kryptografischer Hash verwendbar.}

Wann wird ein nicht kryptografischer Hash verwendet?

Wenn Sie beim Kopieren einer Datei von einem Speicherort an einen anderen Bit-Flips erkennen möchten ( B. ein USB-Stick an einen Laptop), dann ist MD5 absolut die richtige Wahl. Ich würde sogar sagen, dass jeder schnelle, nicht kryptografische Hash gut ist. Wenn Sie Dateien kopieren, müssen Sie realistisch gesehen keine Angst vor Angreifern haben. Wenn Sie paranoid sind, dass Hacker Ihren Kernel ändern können, können Sie Ihre Probleme durch Hinzufügen von Hashes nicht lösen.

Überprüfen der Dateiintegrität mit Eingriffen von Angreifern

Wenn Sie diese signieren und veröffentlichen möchten Dateien, dann kann ein Angreifer möglicherweise eine möglicherweise legitime Datei mit demselben Hash erstellen. Dies bedeutet, dass Ihre Signatur für die schädliche Datei genauso gültig ist.

Ein Beispiel

Lassen Sie uns Sagen Sie, Ihre ursprüngliche Nachricht m1 sieht folgendermaßen aus:

Hiermit erkläre ich, dass der Hase regiert!

Sie verwenden Ihre Hash-Funktion h (m1) und erhalten Sie den Digest d1 . Anschließend signieren Sie den Digest d1 und erhalten eine Signatur s1 .

Anschließend veröffentlichen Sie Ihre Nachricht m1 , Ihre Signatur s1 und Ihre Hash-Funktion h().

I. Möglicherweise ist er der Angreifer im Szenario und erstellt eine Nachricht m2 , die genau den gleichen Hash in der von Ihnen gewählten Hash-Funktion enthält:

Es ist öffentlich bekannt, dass Hunde besser sind als Hasen in jeder Hinsicht ...

Da h (m1) = h (m2) = d1 , ist die Signatur s1 gültig Für Ihren ursprünglichen m1 und meinen böswilligen m2 .

Um sich gegen solche Angriffe zu verteidigen, ist es wichtig, einen starken Hash-Algorithmus mit zu wählen hohe Beständigkeit gegen Kollisionen. Dies bedeutet, dass es für mich sehr schwierig wird, einen m2 zu finden, wobei h (m2) = h (m1) .

Gute Entscheidungen wären SHA256 und SHA512 sowie Tonnen anderer. Es scheint, dass jeder einige bevorzugte Nicht-Mainstream-Hash-Funktionen hat, aber SHA256 und SHA512 haben eine sehr breite Unterstützung und es wird schwierig für Sie sein, ein System zu finden, das diese Hashes nicht unterstützt. Und da Ihre Dateien sehr klein sind, sollte die Berechnung des Hashs fast sofort erfolgen.

Auf meinem 800-MHz-Computer dauerte die Berechnung des SHA512-Hash einer 16-KB-Zufallsdatei beispielsweise 3 ms, sodass dies auch bei einem Toaster der Fall sein sollte Seien Sie relativ schnell.

^{1 sup> Sie können dasselbe mit Zufallszahlengeneratoren sehen. Kryptografische PRNGs zielen darauf ab, Zufallszahlen zu liefern, die wirklich schwer zu erraten sind, während Nicht-Krypto-PRNGs darauf abzielen, nur Zahlen anzugeben, die auf den ersten Blick zufällig aussehen und dies schnell tun.}

Die Größe der Datei macht keinen Unterschied. MD5 basiert auf der Merkle-Damgård-Konstruktion, die für den Längenerweiterungsangriff anfällig ist. 15kb reichen aus, um den Längenverlängerungsangriff durchzuführen. Es gibt viele bekannte Kollisionen und Methoden zum Erzeugen von MD5-Kollisionen mit einer Länge von nur wenigen hundert Bytes. Sobald eine Basiskollision gefunden wurde, bedeutet die Anfälligkeit für Längenerweiterungen, dass sie zur Erzeugung einer beliebigen Anzahl weiterer Kollisionen verwendet werden können.

Die Größe an sich ist nicht sehr relevant, die tatsächlichen Kollisionsdaten können so klein wie ein einzelner Block sein.

Mit einer Sammlung von Textdateien sind Sie jedoch viel sicherer als mit einer Sammlung von PDFs oder ähnlichem.

Warum? weil die Ergebnisse eines Kollisionsangriffs im Allgemeinen dazu führen, dass beide Dateien des Paares "zufällig aussehenden Müll" enthalten. In einem umfangreichen Format kann dieser zufällig aussehende Müll nicht sichtbar sein, sodass der Angreifer den Sammlungsadministrator dazu verleiten kann, eine seiner beiden kollidierenden Dateien zu akzeptieren.

In einer Textdatei ist der Inhalt jedoch für jeden sichtbar.

Kurze Antwort: Nein, es ist nicht sicher, MD5 zu verwenden, um die Integrität von kurzen oder langen Dateien zu überprüfen.

Die vollständige Antwort hängt davon ab, wie sicher sie sind Sie sind in der Verteilung von Fehlern .

Gibt es eine unabhängige zufällige Wahrscheinlichkeit von Bitflips an jeder Position in der Datei aufgrund der Übertragung auf einem leicht verlustbehafteten Kanal wie einer seriellen Schnittstelle? Wenn ja, könnten Sie MD5 verwenden, aber es ist viel billiger, eine CRC zu verwenden, die garantiert einen einzelnen Bit-Flip erkennt und durch Standardauswahl des CRC-Polynoms zum Erkennen aller ungeraden Anzahlen von Bit-Flips garantiert werden kann.

Sie haben jedoch nach sicher gefragt, was darauf hindeutet, dass Sie etwas intelligentere Gegner in Betracht ziehen als eine verlustbehaftete serielle Schnittstelle. Wenn Sie nicht sicher sind, dass es sich bei den Fehlern um unabhängige zufällige Bitflips handelt, verwenden Sie weder MD5 noch eine CRC. Für intelligente Gegner ist es sehr einfach, Paare zu finden von verschiedenen Dateien, die einen gemeinsamen MD5-Hash oder eine gemeinsame CRC-Prüfsumme verwenden. In vielen Szenarien kann dies einem Gegner ermöglichen, Dokumente zu fälschen, die Ihr MD5-System nicht erkennt. Die Größe der Datei ist nicht relevant: Es ist einfach, MD5-Kollisionen in Dateien mit einer Länge von nur 64 Byte zu finden, ohne deren Begrenzung zu begrenzen.

Es gibt einen Ort, an dem die technischen Unterschiede erörtert werden können zwischen Kollisionsangriffen, Vorbildangriffen und Zweitvorbildangriffen. Eine Antwort auf eine allgemeine Frage , ob es sicher ist, die Integrität von Dateien zu überprüfen, ist kein solcher Ort. Wenn Sie ein spezifisches Protokoll im Auge haben, in dem Sie die genauen Befugnisse des Gegners und das genaue Verhalten der legitimen Benutzer im Protokoll artikulieren können, und gelten Implementierungsbeschränkungen Beschränken Sie Ihre Auswahl an Hash-Funktionen so, dass Sie MD5 berücksichtigen müssen. Dann können wir (möglicherweise auf crypto.SE) diskutieren, ob es sicher ist, MD5 in diesem Protokoll zu verwenden, um dies zu erreichen die Sicherheit, die Sie gegen einen solchen Gegner erreichen möchten.

Es wäre jedoch viel einfacher und sicherer, nur SHA-2, SHA-3 oder BLAKE2 zu verwenden.