ทำไมค่าแฮช MD5 จึงไม่สามารถย้อนกลับได้?

แนวคิดหนึ่งที่ฉันสงสัยมาตลอดคือการใช้ฟังก์ชันแฮชและค่าที่เข้ารหัสลับ ฉันเข้าใจว่าฟังก์ชันเหล่านี้สามารถสร้างค่าแฮชที่ไม่เหมือนใครและแทบไม่สามารถย้อนกลับได้ แต่นี่คือสิ่งที่ฉันสงสัยมาตลอด:

หากบนเซิร์ฟเวอร์ของฉันใน PHP ฉันสร้าง:

md5("stackoverflow.com") = "d0cc85b26f2ceb8714b978e07def4f6e"

เมื่อคุณเรียกใช้สตริงเดียวกันผ่านฟังก์ชัน MD5 คุณจะได้ผลลัพธ์เดียวกันกับการติดตั้ง PHP ของคุณ มีการใช้กระบวนการเพื่อสร้างมูลค่าจากค่าเริ่มต้นบางส่วน

นี่ไม่ได้หมายความว่ามีวิธีแยกโครงสร้างสิ่งที่เกิดขึ้นและย้อนกลับค่าแฮชหรือไม่?

มันเกี่ยวกับฟังก์ชันเหล่านี้ที่ทำให้สตริงผลลัพธ์ไม่สามารถย้อนกลับได้?

วัสดุอินพุตอาจมีความยาวไม่สิ้นสุดโดยที่เอาต์พุตจะมีความยาว 128 บิตเสมอ ซึ่งหมายความว่าสตริงอินพุตจำนวนไม่ จำกัด จะสร้างเอาต์พุตเดียวกัน

หากคุณเลือกตัวเลขสุ่มและหารด้วย 2 แต่เขียนเฉพาะส่วนที่เหลือคุณจะได้รับ 0 หรือ 1 - คู่หรือคี่ตามลำดับ เป็นไปได้ไหมที่จะใช้ 0 หรือ 1 และรับหมายเลขเดิม?

หากฟังก์ชันแฮชเช่น MD5 สามารถย้อนกลับได้ก็จะเป็นเหตุการณ์ลุ่มน้ำในประวัติศาสตร์ของอัลกอริทึมการบีบอัดข้อมูล! มันง่ายที่จะเห็นว่าหาก MD5 สามารถย้อนกลับได้แล้วชิ้นส่วนของข้อมูลที่มีขนาดตามอำเภอใจสามารถแสดงได้ด้วย 128 บิตโดยไม่มีข้อมูลสูญหาย ดังนั้นคุณจะสามารถสร้างข้อความต้นฉบับใหม่จากหมายเลข 128 บิตโดยไม่คำนึงถึงขนาดของข้อความต้นฉบับ

ตรงกันข้ามกับสิ่งที่คำตอบที่ได้รับการโหวตมากที่สุดที่นี่เน้นย้ำการไม่ฉีด (กล่าวคือมีหลายสตริงที่แฮชเป็นค่าเดียวกัน) ของฟังก์ชันแฮชการเข้ารหัสที่เกิดจากความแตกต่างระหว่างขนาดอินพุตขนาดใหญ่ (อาจไม่มีที่สิ้นสุด) และขนาดเอาต์พุตคงที่ไม่ได้ ประเด็นสำคัญ - จริงๆแล้วเราชอบฟังก์ชันแฮชที่การชนเหล่านั้นเกิดขึ้นน้อยที่สุด

พิจารณาฟังก์ชันนี้ (ในสัญกรณ์ PHP เป็นคำถาม):

function simple_hash($input) {
     return bin2hex(substr(str_pad($input, 16), 0, 16));
}

สิ่งนี้ต่อท้ายช่องว่างบางส่วนหากสตริงสั้นเกินไปจากนั้นใช้ 16 ไบต์แรกของสตริงจากนั้นเข้ารหัสเป็นเลขฐานสิบหก มีขนาดเอาต์พุตเท่ากับแฮช MD5 (อักขระเลขฐานสิบหก 32 ตัวหรือ 16 ไบต์หากเราไม่ใส่ส่วน bin2hex)

print simple_hash("stackoverflow.com");

สิ่งนี้จะส่งออก:

737461636b6f766572666c6f772e636f6d

ฟังก์ชั่นนี้ยังมีคุณสมบัติที่ไม่ใช่การฉีดเช่นเดียวกับที่ไฮไลต์โดยคำตอบของ Cody สำหรับ MD5: เราสามารถส่งสตริงขนาดใดก็ได้ (ตราบเท่าที่มันพอดีกับคอมพิวเตอร์ของเรา) และจะส่งออกเพียง 32 หลักฐานสิบหก แน่นอนว่าไม่สามารถฉีดได้

แต่ในกรณีนี้การค้นหาสตริงที่แมปกับแฮชเดียวกันเป็นเรื่องเล็กน้อย (เพียงแค่ใช้hex2binกับแฮชของคุณเท่านี้ก็มีได้) หากสตริงเดิมของคุณมีความยาว 16 (ดังตัวอย่างของเรา) คุณจะได้สตริงเดิมนี้ MD5 แบบนี้ไม่ควรเป็นไปได้เลยแม้ว่าคุณจะรู้ว่าความยาวของอินพุตนั้นค่อนข้างสั้นก็ตาม (นอกเหนือจากการลองอินพุตที่เป็นไปได้ทั้งหมดจนกว่าเราจะพบสิ่งที่ตรงกันเช่นการโจมตีด้วยกำลังดุร้าย)

สมมติฐานที่สำคัญสำหรับฟังก์ชันแฮชการเข้ารหัสคือ:

• มันยากที่จะหาสตริงใด ๆ ที่สร้างแฮชที่กำหนด (ความต้านทานก่อนภาพ)
• เป็นการยากที่จะหาสตริงอื่นใดที่สร้างแฮชเหมือนกันกับสตริงที่กำหนด (ความต้านทานของภาพที่สอง)
• ยากที่จะหาคู่สายที่มีแฮชเดียวกัน (ความต้านทานการชนกัน)

เห็นได้ชัดว่าsimple_hashฟังก์ชั่นของฉันไม่เป็นไปตามเงื่อนไขเหล่านี้ (อันที่จริงถ้าเรา จำกัด พื้นที่อินพุตไว้ที่ "16-byte strings" ฟังก์ชันของฉันจะกลายเป็นแบบฉีดดังนั้นจึงสามารถพิสูจน์ได้ถึงความทนทานต่อภาพที่สองและความต้านทานการชนกัน)

ขณะนี้มีการโจมตีแบบชนกับ MD5 (เช่นเป็นไปได้ที่จะสร้างสตริงคู่หนึ่งแม้จะมีคำนำหน้าเหมือนกันซึ่งมีแฮชเหมือนกัน แต่ก็ไม่สามารถใช้งานได้มากนัก) ดังนั้นคุณไม่ควรใช้ MD5 สำหรับทุกสิ่งที่สำคัญ ยังไม่มีการโจมตีก่อนภาพ แต่การโจมตีจะดีขึ้น

เพื่อตอบคำถามจริง:

มันเกี่ยวกับฟังก์ชันเหล่านี้ที่ทำให้สตริงผลลัพธ์ไม่สามารถย้อนกลับได้?

สิ่งที่ MD5 (และฟังก์ชันแฮชอื่น ๆ ที่สร้างขึ้นจากโครงสร้าง Merkle-Damgard) ทำได้อย่างมีประสิทธิภาพคือการใช้อัลกอริทึมการเข้ารหัสที่มีข้อความเป็นคีย์และค่าคงที่บางส่วนเป็น "ข้อความธรรมดา" โดยใช้ไซเฟอร์เท็กซ์ที่เป็นผลลัพธ์เป็นแฮช (ก่อนหน้านั้นอินพุตจะถูกหุ้มและแยกเป็นบล็อกแต่ละบล็อกนี้ใช้เพื่อเข้ารหัสเอาต์พุตของบล็อกก่อนหน้าโดย XORed กับอินพุตเพื่อป้องกันการคำนวณย้อนกลับ)

อัลกอริธึมการเข้ารหัสสมัยใหม่ (รวมถึงที่ใช้ในฟังก์ชันแฮช) ถูกสร้างขึ้นเพื่อให้ยากต่อการกู้คืนคีย์แม้จะได้รับทั้งข้อความธรรมดาและรหัสลับ (หรือแม้กระทั่งเมื่อฝ่ายตรงข้ามเลือกหนึ่งในนั้น) พวกเขาทำสิ่งนี้โดยทั่วไปโดยทำการดำเนินการสับบิตจำนวนมากในลักษณะที่บิตเอาต์พุตแต่ละบิตถูกกำหนดโดยแต่ละคีย์บิต (หลาย ๆ ครั้ง) และบิตอินพุตแต่ละบิต ด้วยวิธีนี้คุณสามารถย้อนกลับสิ่งที่เกิดขึ้นภายในได้อย่างง่ายดายหากคุณรู้คีย์เต็มและอินพุตหรือเอาต์พุต

สำหรับฟังก์ชันแฮชแบบ MD5 และการโจมตีพรีอิมเมจ (ด้วยสตริงแฮชบล็อกเดียวเพื่อให้ง่ายขึ้น) คุณมีเพียงอินพุตและเอาต์พุตของฟังก์ชันการเข้ารหัสเท่านั้น แต่ไม่ใช่คีย์ (นี่คือสิ่งที่คุณกำลังมองหา)

คำตอบของ Cody Brocious คือคำตอบที่ถูกต้อง พูดอย่างเคร่งครัดคุณไม่สามารถ "สลับ" ฟังก์ชันแฮชได้เนื่องจากสตริงจำนวนมากถูกแมปกับแฮชเดียวกัน อย่างไรก็ตามขอให้สังเกตว่าการค้นหาสตริงหนึ่งรายการที่แมปกับแฮชที่กำหนดหรือการค้นหาสองสตริงที่แมปกับแฮชเดียวกัน (เช่นการชนกัน ) จะเป็นความก้าวหน้าครั้งสำคัญสำหรับ cryptanalyst ปัญหาใหญ่ของปัญหาทั้งสองนี้คือสาเหตุที่ฟังก์ชันแฮชที่ดีมีประโยชน์ในการเข้ารหัส

MD5 ไม่สร้างค่าแฮชเฉพาะ เป้าหมายของ MD5 คือการสร้างมูลค่าที่เปลี่ยนแปลงอย่างรวดเร็วโดยอิงจากการเปลี่ยนแปลงเล็กน้อยของแหล่งที่มา

เช่น,

"hello" -> "1ab53"
"Hello" -> "993LB"
"ZR#!RELSIEKF" -> "1ab53"

(เห็นได้ชัดว่านั่นไม่ใช่การเข้ารหัส MD5 จริง)

แฮชส่วนใหญ่ (ถ้าไม่ใช่ทั้งหมด) ก็ไม่ซ้ำกัน แต่มันมีเอกลักษณ์เฉพาะตัวเพียงพอดังนั้นการชนกันจึงไม่น่าจะเป็นไปได้สูง แต่ก็ยังทำได้

วิธีที่ดีในการคิดอัลกอริทึมแฮชคือการคิดปรับขนาดรูปภาพใน Photoshop ... สมมติว่าคุณมีรูปภาพที่มีขนาด 5,000x5000 พิกเซลจากนั้นคุณปรับขนาดเป็นเพียง 32x32 สิ่งที่คุณมียังคงเป็นตัวแทนของภาพต้นฉบับ แต่มีขนาดเล็กกว่ามากและได้ "ทิ้ง" บางส่วนของข้อมูลภาพอย่างมีประสิทธิภาพเพื่อให้พอดีกับขนาดที่เล็กลง ดังนั้นหากคุณจะปรับขนาดภาพ 32x32 นั้นกลับไปที่ 5,000x5000 สิ่งที่คุณจะได้รับก็คือภาพเบลอ อย่างไรก็ตามเนื่องจากภาพขนาด 32x32 มีขนาดไม่ใหญ่นักในทางทฤษฎีจึงเป็นไปได้ว่าภาพอื่นสามารถลดขนาดลงเพื่อให้ได้พิกเซลที่เท่ากัน!

นั่นเป็นเพียงการเปรียบเทียบ แต่ช่วยให้เข้าใจว่าแฮชกำลังทำอะไรอยู่

การชนกันของแฮชมีโอกาสมากกว่าที่คุณคิด ลองดูที่ความขัดแย้งของวันเกิดเพื่อทำความเข้าใจมากขึ้นว่าทำไมถึงเป็นเช่นนั้น

เนื่องจากจำนวนไฟล์อินพุตที่เป็นไปได้มีมากกว่าจำนวนเอาต์พุต 128 บิตจึงเป็นไปไม่ได้ที่จะกำหนดแฮช MD5 ให้กับแต่ละไฟล์ที่เป็นไปได้

ฟังก์ชันแฮชการเข้ารหัสใช้สำหรับตรวจสอบความสมบูรณ์ของข้อมูลหรือลายเซ็นดิจิทัล (แฮชถูกเซ็นชื่อเพื่อประสิทธิภาพ) การเปลี่ยนเอกสารต้นฉบับจึงควรหมายความว่าแฮชต้นฉบับไม่ตรงกับเอกสารที่แก้ไข

บางครั้งมีการใช้เกณฑ์เหล่านี้:

1. ความต้านทานของ Preimage: สำหรับฟังก์ชันแฮชที่กำหนดและแฮชที่กำหนดควรจะหาอินพุตที่มีแฮชที่กำหนดสำหรับฟังก์ชันนั้นได้ยาก
2. ความต้านทานของภาพที่สอง: สำหรับฟังก์ชันแฮชและอินพุตที่กำหนดมันน่าจะยากที่จะค้นหาอินพุตที่สองที่แตกต่างกันด้วยแฮชเดียวกัน
3. ความต้านทานต่อการชนกัน: สำหรับฟังก์ชันที่กำหนดมันน่าจะเป็นเรื่องยากที่จะหาอินพุตที่แตกต่างกันสองอินพุตที่มีแฮชเดียวกัน

เกณฑ์เหล่านี้ถูกเลือกมาเพื่อทำให้ยากต่อการค้นหาเอกสารที่ตรงกับแฮชที่กำหนดมิฉะนั้นอาจเป็นไปได้ที่จะปลอมเอกสารโดยแทนที่ต้นฉบับด้วยแฮชที่ตรงกัน (แม้ว่าการเปลี่ยนจะเป็นการพูดพล่อยๆ แต่การแทนที่ของเดิมอาจทำให้หยุดชะงักได้)

หมายเลข 3 หมายถึงหมายเลข 2

ในฐานะที่เป็น MD5 โดยเฉพาะอย่างยิ่งจะได้รับการแสดงให้เห็นว่ามีข้อบกพร่อง: วิธีการแบ่ง MD5 และฟังก์ชั่นอื่น

แต่นี่คือจุดที่โต๊ะสายรุ้งเข้ามามีบทบาท โดยทั่วไปจะเป็นเพียงค่าจำนวนมากที่แฮชแยกกันจากนั้นผลลัพธ์จะถูกบันทึกลงในดิสก์ จากนั้นบิตย้อนกลับคือ "เพียง" เพื่อทำการค้นหาในตารางขนาดใหญ่มาก

เห็นได้ชัดว่านี่เป็นไปได้สำหรับค่าอินพุตที่เป็นไปได้ทั้งหมดเท่านั้น แต่ถ้าคุณทราบขอบเขตของค่าอินพุตก็อาจเป็นไปได้ที่จะคำนวณ

นักวิทยาศาสตร์ชาวจีนได้ค้นพบวิธีที่เรียกว่า "การชนกันของคำนำหน้าที่เลือก" เพื่อสร้างความขัดแย้งระหว่างสองสายที่แตกต่างกัน

นี่คือตัวอย่าง: http://www.win.tue.nl/hashclash/fastcoll_v1.0.0.5.exe.zip
ซอร์สโค้ด: http://www.win.tue.nl/hashclash/fastcoll_v1.0.0 5_source.zip

วิธีที่ดีที่สุดในการทำความเข้าใจว่าคำตอบที่ได้รับการโหวตมากที่สุดหมายถึงอะไรคือการพยายามเปลี่ยนกลับอัลกอริทึม MD5 ฉันจำได้ว่าฉันพยายามย้อนกลับอัลกอริทึมMD5crypt เมื่อหลายปีก่อนไม่ใช่เพื่อกู้คืนข้อความต้นฉบับเพราะเป็นไปไม่ได้อย่างชัดเจน แต่เพียงเพื่อสร้างข้อความที่จะสร้างแฮชแบบเดียวกับแฮชดั้งเดิม อย่างน้อยที่สุดในทางทฤษฎีจะให้วิธีการเข้าสู่ระบบอุปกรณ์ Linux ที่เก็บ user: password ไว้ในไฟล์ / etc / passwd โดยใช้ข้อความที่สร้างขึ้น (รหัสผ่าน) แทนที่จะใช้แบบเดิม เนื่องจากข้อความทั้งสองจะมีผลการแฮชที่เหมือนกันระบบจะจดจำรหัสผ่านของฉัน (ที่สร้างจากแฮชดั้งเดิม) ว่าถูกต้อง นั่นไม่ได้ผลเลย หลังจากผ่านไปหลายสัปดาห์ถ้าจำไม่ผิดการใช้เกลือในข้อความเริ่มต้นฆ่าฉัน ฉันต้องสร้างไม่เพียง แต่ข้อความเริ่มต้นที่ถูกต้องเท่านั้น แต่ยังต้องสร้างข้อความเริ่มต้นที่ถูกต้องซึ่งฉันไม่สามารถทำได้ แต่ความรู้ที่ได้จากการทดลองนี้ก็ดี

ดังที่ส่วนใหญ่ได้กล่าวไว้แล้วว่า MD5 ได้รับการออกแบบมาสำหรับสตรีมข้อมูลที่มีความยาวผันแปรได้ที่จะแฮชเป็นกลุ่มข้อมูลที่มีความยาวคงที่ดังนั้นแฮชเดียวจึงถูกแชร์โดยสตรีมข้อมูลอินพุตจำนวนมาก

อย่างไรก็ตามหากคุณไม่จำเป็นต้องค้นหาข้อมูลดั้งเดิมจากการตรวจสอบตัวอย่างเช่นหากคุณมีแฮชของรหัสผ่านและต้องการค้นหารหัสผ่านเดิมมักจะเร็วกว่าเพียงแค่ google (หรือผู้ค้นหาที่คุณต้องการ) แฮช สำหรับคำตอบมากกว่าที่จะบังคับมัน ฉันพบรหัสผ่านสองสามรหัสสำเร็จโดยใช้วิธีนี้

ตามความหมายฟังก์ชัน Hash (cryptographic Hash): ไม่ควรกลับด้านไม่ควรมีการชนกัน (เป็นไปได้น้อยที่สุด)

regd คำถามของคุณ: เป็นการแฮชทางเดียว อินพุต (โดยไม่คำนึงถึงความยาว) จะสร้างเอาต์พุตที่มีขนาดคงที่ (จะถูกเพิ่มโดยอิงตาม algo (ขอบเขต 512 บิตสำหรับ MD5)) ข้อมูลถูกบีบอัด (สูญหาย) และไม่สามารถสร้างจากการแปลงย้อนกลับได้

ข้อมูลเพิ่มเติมเกี่ยวกับ MD5: มีความเสี่ยงต่อการชนกัน อ่านบทความนี้เมื่อเร็ว ๆ นี้ http://www.win.tue.nl/hashclash/Nostradamus/

เปิดซอร์สโค้ดสำหรับการใช้งานแฮช crypto (MD5 และ SHA) ได้ที่โค้ด Mozilla (ไลบรารี freebl)

วันนี้แฮช MD5 หรือแฮชอื่น ๆ สำหรับเรื่องนั้นได้รับการคำนวณล่วงหน้าสำหรับสตริงที่เป็นไปได้ทั้งหมดและจัดเก็บไว้เพื่อให้เข้าถึงได้ง่าย แม้ว่าตามทฤษฎีแล้ว MD5 จะไม่สามารถย้อนกลับได้ แต่การใช้ฐานข้อมูลดังกล่าวคุณอาจพบว่าข้อความใดทำให้เกิดค่าแฮชโดยเฉพาะ

ตัวอย่างเช่นลองใช้รหัสแฮชต่อไปนี้ที่http://gdataonline.com/seekhash.phpเพื่อค้นหาข้อความที่ฉันใช้ในการคำนวณแฮช

aea23489ce3aa9b6406ebb28e0cda430

f (x) = 1 ไม่สามารถย้อนกลับได้ ฟังก์ชันแฮชไม่สามารถย้อนกลับได้

สิ่งนี้จำเป็นสำหรับพวกเขาในการทำหน้าที่ในการพิจารณาว่ามีใครครอบครองสำเนาข้อมูลที่แฮชโดยไม่เสียหายหรือไม่ สิ่งนี้ทำให้เกิดความอ่อนไหวต่อการโจมตีด้วยกำลังเดรัจฉานซึ่งมีประสิทธิภาพมากในปัจจุบันโดยเฉพาะอย่างยิ่งกับ MD5

นอกจากนี้ยังมีความสับสนที่นี่และที่อื่น ๆ ในหมู่คนที่มีความรู้ทางคณิตศาสตร์ แต่มีความรู้เพียงเล็กน้อย การเข้ารหัสหลายตัวเพียงแค่ XOR ข้อมูลด้วยคีย์สตรีมดังนั้นคุณสามารถพูดได้ว่าไซเฟอร์เท็กซ์สอดคล้องกับข้อความธรรมดาทั้งหมดของความยาวนั้นเนื่องจากคุณสามารถใช้คีย์สตรีมใดก็ได้

อย่างไรก็ตามสิ่งนี้ไม่สนใจว่าข้อความธรรมดาที่สมเหตุสมผลที่เกิดจากเมล็ดpasswordนั้นมีมากมีโอกาสมากกว่าที่เมล็ดพันธุ์อื่นผลิตได้Wsg5Nm^bkI4EgxUOhpAjTmTjO0F!VkWvysS6EEMsIJiTZcvsh@WI$IH$TYqiWvK!%&Ue&nk55ak%BX%9!NnG%32ftud%YkBO$U6oถึงขนาดที่ใครก็ตามที่อ้างว่าอย่างที่สองมีความเป็นไปได้จะถูกหัวเราะเยาะ

ในทำนองเดียวกันถ้าคุณกำลังพยายามที่จะตัดสินใจระหว่างสองรหัสผ่านที่มีศักยภาพpasswordและWsg5Nm^bkI4EgxUOก็ไม่ได้เป็นเรื่องยากที่จะทำตามที่นักคณิตศาสตร์บางคนจะมีคุณเชื่อ

ฉันชอบทุกข้อโต้แย้งต่างๆ เห็นได้ชัดว่ามูลค่าที่แท้จริงของค่าแฮชเป็นเพียงการให้ตัวยึดตำแหน่งที่มนุษย์อ่านไม่ได้สำหรับสตริงเช่นรหัสผ่าน ไม่มีประโยชน์ด้านความปลอดภัยที่เพิ่มขึ้นโดยเฉพาะ สมมติว่าผู้โจมตีสามารถเข้าถึงตารางที่มีรหัสผ่านที่แฮชเขา / เธอสามารถ:

• ใส่รหัสผ่านที่เขา / เธอเลือกเองและวางผลลัพธ์ไว้ในตารางรหัสผ่านหากเขา / เธอมีสิทธิ์เขียน / แก้ไขตาราง
• สร้างค่าแฮชของรหัสผ่านทั่วไปและทดสอบการมีอยู่ของค่าแฮชที่คล้ายกันในตารางรหัสผ่าน

ในกรณีนี้รหัสผ่านที่อ่อนแอจะไม่สามารถป้องกันได้ด้วยข้อเท็จจริงที่ว่ามีการแฮช