Um die gute Antwort von @DW zu ergänzen: für das Passwort-Hashing ist MD5 nicht fehlerhafter als jede andere Hash-Funktion (aber verwenden Sie sie trotzdem nicht) .

Das vollständige Bild: MD5 ist eine kryptografische Hash-Funktion, von der erwartet wird, dass sie drei Merkmale erfüllt:

• Widerstand gegen Vorbilder: Bei x ist es unmöglich, m so zu finden, dass MD5 (m) = x .

MD5 ist in Bezug auf Kollisionen gründlich defekt, jedoch nicht für Vorbilder oder Zweitvorbilder. Darüber hinaus hat der Angriff von 1996 (von Dobbertin) MD5 überhaupt nicht gebrochen; es war eine "Kollision mit der Kompressionsfunktion", d. h. ein Angriff auf eines der internen Elemente von MD5, aber nicht die volle Funktion. Kryptographen nahmen es als Warnflagge und sie hatten Recht, weil der tatsächliche Kollisionsangriff, der 2004 (von Wang) veröffentlicht wurde, auf den Erkenntnissen von Dobbertin beruhte. MD5 wurde jedoch erst 2004 und nicht 1996 beschädigt, und es handelte sich um einen Kollisionsangriff .

Kollisionen sind für die Sicherheit von Kennwort-Hashing nicht relevant. Die meisten Verwendungen einer Hash-Funktion für das Passwort-Hashing hängen entweder vom Widerstand vor dem Bild oder von anderen Eigenschaften ab (z. B. wie gut die Hash-Funktion funktioniert, wenn sie in HMAC verwendet wird, was nicht auf eine der oben genannten Eigenschaften reduziert werden kann ). MD5 wurde in Bezug auf Vorbilder tatsächlich "geschwächt", aber nur auf theoretische Weise, da die Angriffskosten immer noch Milliarden von Milliarden zu teuer sind, um wirklich ausprobiert zu werden (so dass MD5 in Bezug auf Vorbilder nicht "wirklich" kaputt ist). nicht auf praktische Weise).

Verwenden Sie MD5 jedoch trotzdem nicht . Nicht wegen einer kryptografischen Schwäche, sondern weil MD5 ungesalzen und sehr schnell ist. Genau das möchten Sie in einer Passwort-Hashing-Funktion nicht. Leute, die MD5 für das Passwort-Hashing "empfehlen", wissen es einfach nicht besser und sie sind ein Beweis für eine Wahrheit, die Sie immer im Auge behalten sollten: Nicht alles, was Sie im Internet finden, ist korrekt und vertrauenswürdig. Bessere Lösungen für das Passwort-Hashing sind bekannt und werden seit mehr als einem Jahrzehnt verwendet und bereitgestellt. Siehe diese Antwort für Details und Hinweise.

Was meinst du mit "verboten"? Wer würde die Verwendung von MD5 "verbieten"? Es ist nicht so, dass wir einige internationale Crypto Cops haben, die Leute verhaften, die ROT13 und andere unsichere Krypto-Schemata verwenden.

Oder, um es etwas ernster zu machen: Kryptographen empfehlen bereits, dass neue Systeme MD5 vermeiden sollten, und sie empfehlen, dass vorhandene Systeme von MD5 weg migrieren. Ich weiß nicht, was Kryptographen Ihrer Meinung nach noch dagegen tun können.

Sie behaupten, MD5 sei eine "allgemein empfohlene Methode zum Hashing von Passwörtern", aber Sie liefern keine Beweise für diese Behauptung. Ich denke nicht, dass die Behauptung richtig ist. Das war nicht meine Erfahrung.

Unter dem Strich spricht die kryptografische Community bereits ziemlich deutlich mit einer Stimme zu diesem Thema, und die meisten Leute sind migriert bereits von MD5 weg. Die Fälle, in denen MD5 noch verwendet wird, sind die Ausnahme und nicht die Norm.

Bearbeiten (6/17): Ich sehe, dass Sie einige Links hinzugefügt haben, die die Verwendung von MD5 für das Hashing erwähnen. Sie beweisen nur, dass einige Leute, von denen ich noch nie gehört habe, verwirrt sind. Na und? Sie sollten wahrscheinlich skeptisch sein, wenn Sie sich von Leuten beraten lassen, die sich in der Sicherheits- / Kryptografie-Community ohnehin keinen guten Ruf erarbeitet haben. Und ich verstehe nicht, wie Sie die Sicherheits- / Kryptografie-Community dafür kritisieren können, dass einige Leute, die nicht in der Community sind, verwirrt sind. Was genau sollen wir tun? Wir tun bereits alles, um das Wissen über den richtigen Weg zu erweitern. Ich habe das Gefühl, dass Sie wirklich die falschen Leute beschuldigen.

Um Ihre Frage zu beantworten, warum einige Leute MD5 immer noch empfehlen: Nun, meine Güte, es liegt wahrscheinlich daran, dass diese Leute es nicht besser wissen . Ich weiß nicht, was noch jemand zu diesem Thema sagen kann oder was Sie von jemandem erwarten.

Ich denke, was Sie sehen, ist der lange Schwanz des Webs. Ich kann Artikel aus dem Jahr 2006 finden, die MD5 für das Passwort-Hashing empfehlen (z. B. http://www.pixel2life.com/publish/tutorials/118/understanding_md5_password_encryption/) - noch 10 Jahre nach Ihrem Referenzdatum.

Wir sprechen jedoch über die Zeit, die erforderlich ist, um aus den neuesten Forschungsergebnissen in den von Experten geprüften Kryptografie-Journalen etwas zu gewinnen, um die Praxis unter alltäglichen Praktikern zu empfehlen, die keine Kryptografie-Journale lesen und nicht einmal Experten auf diesem Gebiet sind . Was wahrscheinlich passiert ist, ist, dass 1990 jeder "wusste", dass MD5 gut für Passwörter ist, und allen anderen sagte, dass MD5 gut für Passwörter ist. Ab Ende der neunziger Jahre sagten einige Leute, MD5 sei schlecht für Passwörter, aber die meisten Leute "wussten", dass es gut für Passwörter ist, und dies war immer noch das, was sie anderen rieten.

Heutzutage gibt es eine, die groß genug ist Eine Gruppe von Personen, die "wissen", dass bcrypt für Kennwörter geeignet ist, für die Sie diese Empfehlungen bereits sehen, aber die Artikel, in denen MD5 für Kennwörter geeignet ist, sind noch nicht aus den Suchmaschinenindizes herausgefallen . Mit der Zeit werden sie es tun.

Das bedeutet, dass Sie in einem Jahrzehnt hierher zurückkehren und die Frage stellen werden: "Warum empfehlen die Leute immer noch die Verwendung eines bcrypt Arbeitsfaktors von 10 Wenn dieses Journal sagt, dass Sie mindestens 150 verwenden sollten? "...

Poul Henning-Kamp hat ursprünglich die UNIX-Funktion crypt () von DES auf MD5 verschoben. Er erklärt hier, dass die Tatsache, dass Benutzer MD5 verwenden, zeigt, dass er nicht erfolgreich beschrieben hat, was er versucht hat: Kennwort-Hashing komplexer zu gestalten, MD5 nicht als Shibboleth zu installieren.

Sie haben mehrere Verwendungsmöglichkeiten von MD5.

Integritätsprüfung

Überprüfen Sie, ob die heruntergeladene oder empfangene Datei das Original ist, indem Sie den Hash der Datei überprüfen. Es hat sich gezeigt, dass Sie problemlos eine Datei mit derselben Prüfsumme erstellen können.

Eine Kollision in MD5 ist einfach zu erstellen. MD5 sollte nicht für diesen Zweck verwendet werden.

Während des Herunterladens von ISO und anderen Inhalten wird weiterhin eine MD5-Prüfsumme vorgeschlagen, häufig wird jedoch auch eine SHA-Prüfsumme angegeben. Dies kann erklärt werden, da MD5 viel schneller ist und normalerweise implementiert wird.

Kennwortprüfung

Anstatt ein Kennwort im Klartext zu speichern, speichern Sie den Hash des Kennworts. Einige Websites verwenden dazu immer noch MD5. Das Problem hierbei ist nicht, eine Kollision zu finden, sondern eine Regenbogentabelle oder eine riesige Datenbank mit MD5-Prüfsummen zu überprüfen.

Da Sie sehr schnell Millionen von MD5-Prüfsummen erstellen können, können Sie ein Kennwort selbst brutal erzwingen PC. Aus diesem Grund sollten Sie MD5 nicht zum Hashing Ihres Passworts verwenden, aber meistens sollten Sie ein Salz hinzufügen.

Wenn Sie ein sehr komplexes Passwort (lang mit Sonderzeichen) und a haben einzigartiges komplexes Salz für jedes gespeicherte Passwort, es ist nicht so sehr ein Problem für Sie, MD5 zu verwenden. Ich sage nicht, dass Sie sollten (Sie sollten nicht), aber es ist kein großes Sicherheitsproblem, MD5 zu verwenden, wenn das Passwort schwer zu erzwingen ist und die Verwendung von Regenbogentabellen durch das Salz verhindert wird. Natürlich ist es auf Ihrer Website nicht einfach (und geschätzt), die Benutzer zu einem komplexen Kennwort zu zwingen. Wenn ein Benutzer also 12345 registriert, wird es ungeachtet der von Ihnen verwendeten Hash-Funktion beschädigt.

Der Grund, warum die Leute das immer noch verwenden, liegt vielleicht daran, dass es immer noch die bekannteste Hash-Funktion ist und vor einigen Jahren noch akzeptabel war. Leute mit nicht viel Kryptowissen können es verwenden.

Ich glaube nicht, dass es empfohlen wird. Wikipedia gibt an, dass MD5 als defekt gilt und SHA-2 oder SHA-Familie empfohlen wird, um es zu ersetzen. Schauen Sie sich auch Devise an, ein Rubinstein, der die Autorisierung übernimmt. Es hat eine andere Art von Verschlüsselung.

Auch nach dieser Studie und allen anstehenden Veröffentlichungen zu ihren Fehlern wurde sie seitdem als Passwort-Hashing-Funktion in Webanwendungen empfohlen.

Ja, und?

Passwort-Hashing ist nur Zeitverschwendung.

MD5 ^ n (MD5 iteriert n mal) ist genauso gut wie SHA1 ^ m (für m wie time (MD5 ^ n) > = time (SHA1 ^ m) ) für Zeitverschwendung .

Niemand hat etwas vorgeschlagen Möglichkeit, MD5 ^ n auf eine Weise zu berechnen, die schneller ist als der offensichtliche MD5 o MD5 ^ (n-1) . Es gibt noch nicht einmal den Anfang einer Idee, dies zu tun.

Hier ist nichts kaputt.

Um Zeit zu verschwenden, sollten Sie scrypt .

Dies ist eine offizielle Information über MD5 - MD5, das für Kollisionsangriffe anfällig ist Für eine höhere Sicherheit sollte SHA-2 in Betracht gezogen werden. Niemand hindert Benutzer daran, MD5 zu verwenden, jedoch nicht für die Daten, die Sie privat halten möchten.

Leistung von Hash-Algorithmen

Wie in der Abbildung gezeigt " Leistung von Hash-Algorithmen ", SHA256 ist viel schneller als MD5.

Dies ist eine gute Ressource, die zu berücksichtigen ist. Der Autor untersucht die durchgesickerten Passwörter in LinkedIn - Warteschlange (.) Acm (.) Org / detail.cfm? Id = 2254400&ref = fullrss, zeigt auch einige Möglichkeiten zum Sichern von Passwörtern.

Das Problem des Passwort-Hashing und der Verwendung von Regenbogentabellen hängt von der Sicherheit eines Webservers ab, der durch eine zugrunde liegende Schwachstelle ausgenutzt wird.

Zunächst einmal sollen all diese Websites einen einfachen Test anbieten Überprüfen Sie, ob Ihr Passwort sicher ist ... Ummm, lassen Sie uns diese Websites als Phishing betrachten und alle Leute, die sich auf diese Websites begeben, füttern einen Regenbogentisch. Dies ist ein Teil des Problems.

Zweitens handelt es sich um Personen, die Webhosting-Dienste nutzen, bei denen es darum geht, Geld einzusammeln und die Sicherheit des Webservers zu vergessen. Diese Hosts sollten an die Wand gestellt und erschossen werden Meiner Meinung nach beruht ein Teil der Sicherheit eines Benutzer-Logins auf der Sicherheit eines Webservers und der Aktualisierung der zugrunde liegenden Technologien, um zu verhindern, dass bekannte Exploits verwendet werden.

Drittens ist dies der Fall, wenn die Benutzer erst einmal darauf zugreifen Ihre dicken Köpfe sind zwar nicht kollisionssicher oder ich bevorzuge so robust wie möglich, aber es ist immer noch schwierig, ein Benutzerkonto zu hacken, es sei denn, Sie haben einen Webhost, auf dem ein ausnutzbares System ausgeführt wird, Ihre Webcodierung ist nicht robust und Sie Stellen Sie sich einer Website zur Verfügung, die behauptet, Ihre Kennwortsicherheit zu überprüfen.

Zum größten Teil ist MD5 + ein Salt-Wert eine ausreichende Sicherheit für eine Benutzeranmeldung in einem Webforum, solange das zuvor erwähnte System und die zuvor erwähnte Software vorhanden sind nicht ausnutzbar. Sobald Sie ein System haben, das für eine Schwachstelle ausgenutzt wurde, wird durch Ausführen einer Abfrage nach bekannten Hashwerten, die kein Salting-System verwenden, eine vierte Schwachstelle aufgedeckt ... der Endbenutzer.

Viertens ist der Endbenutzer, Ihre Websicherheit ist letztendlich nur so stark wie das schwächste Glied, und für viele wird der Endbenutzer genau so gesehen, und Administratoren müssen sich daran erinnern, dass sie Endbenutzer eines Systems sind und gleichermaßen als anfällig für die Gefährdung der Systemsicherheit durch schlampige Programmierung oder Software, die leicht zu beschädigen ist, schlechte Kennwortsicherheit und das Versäumnis, die ADMIN-Anmeldung zu ändern, oder durch die Verwendung von Software, die auch heute noch darauf besteht, den Administrator-Anmeldenamen als Administrator zu verwenden und Super-User-Konten zu verwenden

Es versteht sich von selbst, also werde ich es trotzdem sagen, MD5 ist nicht geknackt, es wird durch schwache Benutzer, schwache Software und die Unfähigkeit der Menschen, eine Technologie zu verstehen, rückentwickelt. Wenn MD5 geknackt ist, sind es auch SHA und AES und so weiter ...