In einem kürzlich erschienenen Artikel über die Überprüfung, ob Sie von Gawkers Hacking-Vorfall betroffen waren Wie Sie herausfinden können, ob Ihre E-Mail-Adresse durch die Gawker-Datenbank geleakt wurde Wie Sie herausfinden, ob Ihre E-Mail-Adresse durch die Gawker-Datenbank geleert wurde Lesen Sie mehr E-Mail-Adresse in einen MD5-Hash.
Wir hatten einige Fragen von Lesern, die genau fragten, was vor sich ging und warum dieser Prozess notwendig war. Es ist nicht unser Stil, euch Fragen stellen zu lassen, deshalb gibt es hier eine vollständige Übersicht über MD5, Hashing und einen kleinen Überblick über Computer und Kryptographie.
Kryptografisches Hashing
MD5 steht für M essage D igest algorithm 5 und wurde 1991 vom gefeierten US-Kryptologen Professor Ronald Rivest erfunden, um den alten MD4-Standard zu ersetzen. MD5 ist einfach der Name für eine Art kryptografischer Hashing-Funktion, die Ron schon 1991 erfunden hat.
Die Idee hinter dem kryptografischen Hashing besteht darin, einen beliebigen Datenblock zu nehmen und einen "Hash" -Wert fester Größe zurückzugeben. Es können beliebige Daten beliebiger Größe sein, aber der Hash-Wert wird immer festgelegt. Probieren Sie es hier selbst aus.
Kryptografisches Hashing hat eine Reihe von Anwendungen, und es gibt eine große Anzahl von Algorithmen (außer MD5), die für ähnliche Aufgaben entwickelt wurden. Eine der Hauptverwendungen für das kryptografische Hashing besteht darin, den Inhalt einer Nachricht oder Datei nach der Übertragung zu überprüfen.
Wenn Sie jemals eine besonders große Datei heruntergeladen haben (Linux-Distributionen, so etwas), haben Sie wahrscheinlich den zugehörigen Hash-Wert bemerkt. Sobald diese Datei heruntergeladen wurde, können Sie mit dem Hash überprüfen, ob die heruntergeladene Datei in keiner Weise von der beworbenen Datei abweicht.
Dieselbe Methode funktioniert für Nachrichten, wobei der Hash überprüft, ob die empfangene Nachricht mit der gesendeten Nachricht übereinstimmt. Auf einer grundlegenden Ebene, wenn Sie und ein Freund jeweils eine große Datei haben und überprüfen möchten, dass sie ohne die heftige Übertragung identisch sind, wird der Hash-Code es für Sie tun.
Hashing-Algorithmen spielen ebenfalls eine Rolle bei der Daten- oder Dateiidentifikation. Ein gutes Beispiel dafür sind Peer-to-Peer-Filesharing-Netzwerke wie eDonkey2000. Das System verwendete eine Variante des MD4-Algorithmus (siehe unten ), der auch die Dateigröße zu einem Hash zusammenfasste, um schnell auf Dateien im Netzwerk zu zeigen.
Ein typisches Beispiel dafür ist die Fähigkeit, Daten in Hash-Tabellen schnell zu finden, eine Methode, die häufig von Suchmaschinen verwendet wird.
Eine andere Verwendung für Hashes ist die Speicherung von Passwörtern. Das Speichern von Passwörtern als Klartext ist aus offensichtlichen Gründen keine gute Idee, stattdessen werden sie in Hashwerte umgewandelt. Wenn ein Benutzer ein Passwort eingibt, wird es in einen Hash-Wert umgewandelt und mit dem bekannten gespeicherten Hash verglichen. Da das Hashing ein einseitiger Prozess ist, gibt es theoretisch eine geringe Chance, dass das ursprüngliche Passwort aus dem Hash-Code entschlüsselt wird, vorausgesetzt, der Algorithmus ist solide.
Kryptografisches Hashing wird auch häufig bei der Erzeugung von Passwörtern und abgeleiteten Passwörtern aus einer einzelnen Phrase verwendet.
Message Digest Algorithmus 5
Die MD5-Funktion bietet eine 32-stellige Hexadezimalzahl. Wenn wir "makeuseof.com" in einen MD5-Hash-Wert umwandeln würden, würde es wie folgt aussehen: 64399513b7d734ca90181b27a62134dc . Es wurde auf einer Methode aufgebaut, die die Merkle-Damgard-Struktur genannt wurde ( unten ), die verwendet wird, um so genannte "kollisionsfeste" Hash-Funktionen aufzubauen.
Keine Sicherheit ist jedoch alles-Beweis, und 1996 wurden mögliche Fehler innerhalb des MD5 Hash-Algorithmus gefunden. Zu der Zeit wurden diese nicht als tödlich angesehen, und MD5 wurde weiterhin verwendet. Im Jahr 2004 wurde ein viel ernsthafteres Problem entdeckt, nachdem eine Gruppe von Forschern beschrieben hatte, wie zwei separate Dateien denselben MD5-Hash-Wert teilen. Dies war die erste Instanz eines Kollisionsangriffs gegen den MD5-Hashing-Algorithmus. Ein Kollisionsangriff versucht zwei Arbrity-Ausgaben zu finden, die denselben Hash-Wert erzeugen - also eine Kollision (zwei Dateien, die mit dem gleichen Wert existieren).
In den nächsten Jahren wurden Versuche unternommen, weitere Sicherheitsprobleme innerhalb von MD5 zu finden. Im Jahr 2008 gelang es einer anderen Forschungsgruppe, die Kollisionsangriffsmethode zu verwenden, um die Gültigkeit von SSL-Zertifikaten zu fälschen. Dies könnte dazu führen, dass Nutzer denken, dass sie sicher surfen, wenn dies nicht der Fall ist. Das US-Heimatschutzministerium gab bekannt: " Benutzer sollten den MD5-Algorithmus in keiner Weise verwenden. Wie frühere Untersuchungen gezeigt haben, sollte es als kryptographisch gebrochen und für die weitere Verwendung ungeeignet angesehen werden. "
Trotz der Warnung der Regierung verwenden viele Dienste immer noch MD5 und sind daher technisch in Gefahr. Es ist jedoch möglich, Passwörter zu "salzen", um zu verhindern, dass potentielle Angreifer Wörterbuchangriffe (Test bekannter Wörter) gegen das System verwenden. Wenn ein Hacker eine Liste von häufig verwendeten Passwörtern und Ihre Benutzerkontendatenbank hat, kann er die Hashes in der Datenbank mit denen in der Liste vergleichen. Salt ist eine zufällige Zeichenfolge, die mit vorhandenen Kennwort-Hashes verknüpft und dann erneut hashed wird. Der Salt-Wert und der resultierende Hash werden dann in der Datenbank gespeichert.
Wenn ein Hacker die Passwörter seiner Benutzer herausfinden wollte, müsste er zuerst die Salz-Hashes entziffern, was eine Wörterbuch-Attacke ziemlich nutzlos macht. Salt wirkt sich nicht auf das Passwort selbst aus, Sie müssen also immer ein schwer zu erratendes Passwort wählen.
Fazit
MD5 ist eine von vielen verschiedenen Methoden zum Identifizieren, Sichern und Verifizieren von Daten. Kryptographisches Hashing ist ein wichtiges Kapitel in der Geschichte der Sicherheit und hält Dinge verborgen. Wie bei vielen Dingen, die auf Sicherheit ausgelegt sind, ist jemand weg und hat es kaputt gemacht.
Sie werden sich wahrscheinlich nicht viel Gedanken über Hashing und MD5-Prüfsummen in Ihren täglichen Surfgewohnheiten machen müssen, aber zumindest wissen Sie jetzt, was sie tun und wie sie es tun.
Hattest du schon mal etwas zu hacken? Überprüfst du die heruntergeladenen Dateien? Kennen Sie gute MD5 Web Apps? Lass es uns in den Kommentaren wissen!
Intro Bild: Shutterstock