MD5 哈希：曾经的安全明星，如今的教训

什么是 MD5？

MD5（Message Digest Algorithm 5）由密码学大佬 Ron Rivest（就是 RSA 里的那个 R）在 1991 年设计。它的功能很直白：任意长度的数据丢进去，吐出一个固定 128 位（16 字节）的指纹，通常写成 32 个十六进制字符，比如 5d41402abc4b2a76b9719d911017c592。

在 90 年代到 21 世纪头几年，MD5 就是哈希的代名词。密码存储用它，文件校验用它，数字签名也用它。我第一次写登录注册系统的时候，用户密码就是 md5(password) 直接入库——那时候网上的教程清一色都这么教，没人觉得有问题。

但问题来了，而且来得很猛。

2004 年，山东大学的王小云教授在国际美密会（Crypto 2004）上宣布，她的团队成功找到了 MD5 的有效碰撞——两个不同的 128 字节消息，产生完全相同的 MD5 哈希值。全场先是沉默，然后爆发出长时间的掌声。一个用了十几年的、被全世界信任的算法，瞬间从神坛跌落。老实说，这是我学密码学历史时印象最深的一个瞬间——不是什么 NSA 的后门阴谋，而是一位中国女数学家在算法结构里找到了一道数学上的裂缝。

到今天，MD5 的定位很尴尬：安全领域已经宣判死刑，但在非安全场景（文件快速校验、内容去重）里还是到处能见到。它就相当于一个退役老兵——不给上前线了，在后勤仓库里搬箱子还挺利索。

MD5 的工作原理

MD5 的处理流程跟大多数哈希算法类似，走四步。

第一步：消息填充

先把原始消息填充成 512 位的整数倍。在末尾加一个 1 位，然后补 0，补到消息长度模 512 余 448。最后用一个 64 位的二进制数记录原始消息的长度，附在末尾。补齐之后，消息就能被均匀切成一块一块的 512 位”面团”了。

第二步：初始化缓冲区

MD5 内部保持 4 个 32 位寄存器，分别叫 A、B、C、D，初始值固定：

A = 0x67452301
B = 0xEFCDAB89
C = 0x98BADCFE
D = 0x10325476

这 4 个值，加上每一步用到的正弦函数常数 T[i] = floor(2^32 * |sin(i)|)，保证了算法内部没有能被植入后门的”魔法数字”。

第三步：4 轮循环压缩

每 512 位一块，经过 4 轮、每轮 16 步，共计 64 步运算。每一步都用到一个不同的非线性函数——F、G、H、I——加上循环移位和加法，把 ABCD 四个寄存器搅得面目全非。这跟你揉面是一个道理：反复折叠、旋转、按压，最后原始面团的结构完全消失。

第四步：输出

所有 512 位块处理完毕，ABCD 四个 32 位寄存器拼接成 128 位的结果，转成十六进制——就是你熟悉的那个 32 字符 MD5 字符串。

整个流程和 SHA-256 同属 Merkle-Damgård 结构，问题也类似：存在长度扩展攻击的风险。不过 MD5 更大的问题是，它的 128 位输出空间和内部设计缺陷，使得碰撞远没有”128 位的安全强度”看上去那么可靠。

核心特性

特性	说明
输出长度	128 位（16 字节，32 个十六进制字符）
内部状态	4 个 32 位寄存器（A、B、C、D）
运算轮数	4 轮 × 16 步 = 64 步
结构	Merkle-Damgård 构造
安全状态	已攻破——有效碰撞攻击可在数秒内完成
计算速度	极快，GPU 每秒可算出数十亿个 MD5

MD5 的速度曾经是它的最大卖点，今天却成了它的致命伤。算得太快 = 暴力破解和彩虹表攻击的成本太低。密码学里，“快”有时候不是优点。

实际应用场景

1. 文件下载完整性校验（还在用的最后堡垒）

很多软件镜像站今天仍然提供 MD5 校验值。你下载完文件，本地算一个 MD5，跟官网公布的值比对——一致说明传输没出错。但说明白：这里防的是网络丢包和比特翻转，不是恶意篡改。

我有一次下载某个 Linux 发行版的 ISO，用官方提供的 MD5 校验值验证通过后就开始装。如果攻击者有能力拦截我的下载流、替换 ISO、再实时算出匹配的 MD5——那 MD5 确实挡不住。但说实话，碰上这种级别的中间人攻击，问题早就不在哈希算法上了。

2. 内容去重和缓存

很多 CDN 和对象存储用 MD5 做内容寻址。上传一个文件，系统算 MD5，发现跟已有的某个文件一样——直接引用，不重复存了。这种场景下，碰撞概率低到比被陨石砸中还要低得多，MD5 完全够用。

3. 密码存储（绝对禁止）

这是 MD5 被滥用最惨的领域。10 个用 MD5 存密码的系统，9 个没加盐，剩下 1 个的盐是写死在代码里的。攻击者拿着彩虹表——一张预先算好的”常见密码 → MD5 值”对照表——直接查：5f4dcc3b5aa765d61d8327deb882cf99 = password，0.01 秒都不用。

加盐（每个用户一个随机字符串，和密码混在一起再哈希）能让预计算失效，但如果用 MD5 这种超级快的哈希函数，攻击者就算现场暴力穷举也撑不住。存密码请用 bcrypt、scrypt 或 Argon2。

4. 数字签名（已淘汰）

2008 年，一队研究者用 MD5 碰撞攻击生成了一个假的 CA 证书，通过了真实 CA 机构的签名验证——一个理论上能签发任意域名的假证书就这样被”合法”地创建了出来。各大浏览器随后紧急更新，2010 年前后彻底干掉 MD5 签名。这是 MD5 的”死亡证明”——它退出密码学舞台的正式契机。

常见误区

误区一：MD5 是加密

MD5 是哈希，不是加密。加密有解密钥匙，哈希是单向塌缩——坍进去了就出不来。但是，“MD5 加密""MD5 解密”这些词在搜索引擎里的搜索量远超”MD5 哈希”，已经约定俗成了。就像叫”鲸鱼”不是鱼，大家都知道不对，就这么叫下去了。关键在于你在写代码时心里清楚：这东西不能当加密用。

误区二：MD5 已经彻底没用了

要看场景。凡是涉及安全对抗的——数字签名、密码存储、身份验证令牌——碰都别碰。但文件传输错校验、非安全内容去重、数据库长字段做哈希索引这些场景，MD5 依然能打。我自己的工作习惯是：校验文件时老老实实跑 SHA-256；但如果只是想快速确认两个大文件夹内容是否完全一致，find | xargs md5sum | sort | md5sum 一把梭，省时间。

误区三：在线 MD5 解密网站真的能破解

那些网站的本质就是超级彩虹表查询服务。你输入一个 MD5 哈希值，它去自己收集的海量数据库中匹配明文。“123456”、“password”、“admin” 这类常见值，秒出。一个加了高质量随机盐的字符串,查一万年也查不到。这不是破解，是查字典。

MD5 vs SHA-1 vs SHA-256

	MD5	SHA-1	SHA-256
输出	128 位	160 位	256 位
速度	最快	中等	较慢
安全状态	已攻破（2004）	已攻破（2017, SHAttered）	安全
碰撞成本	秒级	可实践	2^128（不可行）
推荐场景	仅非安全校验	新系统不建议	安全场景首选

王小云团队的突破不是一次性的。2004 年展示碰撞后，攻击方法持续优化。到了 2007 年，“选择前缀碰撞攻击”已能在几小时内完成——攻击者可以构造两个任意内容不同但 MD5 相同的文件。MD5 128 位的理论空间是 2^128，但算法缺陷让实际需要的工作量降到了 2^20 级别，差了 100 多个数量级。

MD5 的兴衰是整个密码学界的教科书级案例：一个算法被所有人信任，不等于它安全。它也直接推动了 NIST 加速 SHA-3 竞赛的进程——不把鸡蛋放一个篮子里，万一哪天 SHA-2 也塌了呢。

常见问题

Q: MD5 碰撞到底是什么？真有两个不同文件哈希一模一样？

真真切切。2008 年有人用碰撞攻击伪造了 SSL 证书，2012 年的 Flame 超级恶意软件用 MD5 碰撞伪造了微软的 Windows Update 数字签名。这不是实验室里的假设——它是已经发生后被补上的安全漏洞。

Q: 老项目的数据库里还在用 MD5 存密码，怎么迁移？

不要直接替换——你没有用户的明文密码。正确姿势：用户下次登录时，先用旧 MD5 验证，通过后立刻用 bcrypt 或 Argon2 重新哈希存库。等所有活跃用户迁移完，清掉 MD5 列的旧数据。别拖，拖一天就多一天的风险。

Q: 用 MD5 做校验和可以吗？

只要你的威胁模型里没有”恶意篡改”——可以。大文件传输确认、ETag 生成、缓存 key，都没问题。但如果攻击者有能力替换文件内容并重算 MD5，那 MD5 帮不了你。面对有能力的攻击者，换 SHA-256 或 BLAKE3。在现代硬件上，SHA-256 也是毫秒级的事。

Q: 彩虹表是什么，为什么能秒破 MD5 密码？

彩虹表是一种时空权衡策略。与其每次暴力破解都重新算一遍，不如提前把海量常见密码的 MD5 值算好、存起来。攻击时拿着哈希值直接查表，命中率极高。对付彩虹表的方法就是加盐——每个用户独立的随机字符串混进密码里，彩虹表立刻失效，因为攻击者不可能为每一个可能的盐值单独建一张表。

Q: 既然 MD5 不安全，为什么它还到处存在？

惯性。几十亿行代码不是一天能重写的,尤其是那些”跑了十年没出过问题”的老系统。再加上在很多非安全场景里 MD5 确实还够用，所以它不会一夜之间消失。但记住一句话：如果你今天在写新代码，任何和安全沾边的地方，都不要出现”md5”这 3 个字。