卡巴斯基：MD5 加密已完全不安全

报告核心结论

MD5 加密已完全不安全 ：在单块英伟达 RTX 5090 显卡攻击下，60% 的 MD5 哈希密码可在 1 小时内被破解 ，其中48% 的密码破解时间不足 60 秒 。攻击者可通过云服务租用 GPU 发起低成本攻击 ，单卡哈希比对速率达220 亿次 / 秒（较 RTX 4090 提升 34%）。

---

一、研究背景与测试方法

发布时间：2026 年 5 月 7 日（世界密码日，每年 5 月第一个周四）
测试样本 ：2.31 亿个从暗网泄露的唯一密码（2023-2026 年间收集，较 2024 年研究增加 3800 万个样本）
测试设备：单块英伟达 GeForce RTX 5090 显卡（当前高端游戏显卡）
测试算法：MD5 哈希算法（广泛用于早期密码存储）
数据来源：卡巴斯基数字足迹情报服务（Digital Footprint Intelligence）

二、核心测试数据与结论

1. 破解效率对比（2024 vs 2026）

破解时间	2024 年可破解比例	2026 年可破解比例	变化趋势
小于 1 分钟	45%	48%	↑3%
小于 60 分钟	59%	60%	↑1%
小于 1 天	67%	68%	↑1%
小于 30 天	73%	74%	↑1%
小于 1 年	77%	77%	持平
超过 1 年	23%	23%	持平

2. 硬件性能突破

RTX 5090：220 亿哈希 / 秒（较 RTX 4090 提升 34%）
RTX 4090（2024 年）：164 亿哈希 / 秒
云服务租用成本：每小时几美分到几美元，大幅降低攻击门槛
规模化攻击：可同时租用 10-100 块 GPU，破解效率呈数量级提升

3. 密码长度与破解难度

8 位密码：几乎所有 8 位密码可在24 小时内破解
12 位及以上随机密码：破解时间显著延长，但仍受限于 MD5 算法本身的脆弱性

三、技术原因深度分析

1. MD5 算法的根本性缺陷

设计初衷：追求计算速度，而非安全性
抗碰撞性弱：早在 2004 年就已被证明存在碰撞攻击（两个不同输入可产生相同哈希值）
缺乏盐值支持：单纯 MD5 哈希不支持盐值（随机数据），易被彩虹表攻击
并行计算友好：算法结构适合 GPU 大规模并行计算，破解效率呈指数级增长

2. 硬件发展加速 MD5 淘汰

GPU 性能每代提升 30-40%，破解成本逐年降低
云服务 GPU 租用市场成熟，攻击者无需自购硬件即可发起大规模攻击
专用 ASIC 芯片可进一步提升破解速度，MD5 算法几乎无防御能力

四、密码模式与用户行为洞察

1. 数字使用习惯

53% 的密码以数字结尾，17% 以数字开头
12% 的密码包含年份（1950-2030），10% 集中在 1990-2026 区间
最常见数字组合："1234"，占比极高
键盘序列（如 "qwerty"）出现在 3% 的密码中

2. 特殊字符使用误区

@符号最受欢迎，出现在 1/10 的密码中
其次是.（句号）和！（感叹号）
特殊字符多添加在末尾，形成可预测模式

3. 情感与流行文化影响

积极词汇（如 "love"、"angel"）常见于密码中
2023-2026 年间，"Skibidi" 一词在密码中使用量增长36 倍
54% 的密码在多次泄露中重复出现，反映用户长期不更换密码的习惯
密码平均寿命：3-5 年，远超安全建议的更换周期

五、安全建议与替代方案

1. 企业级建议

立即弃用 MD5：停止使用 MD5 存储密码，全面迁移至安全哈希算法
采用慢速哈希算法 ：推荐bcrypt （自适应成本因子）、Argon2 （密码哈希竞赛冠军）、scrypt
强制盐值使用：为每个密码添加唯一随机盐值，防止彩虹表攻击
实施密码策略：要求密码长度≥12 位，包含大小写字母、数字和特殊字符
支持 Passkey：优先部署无密码认证系统，降低密码泄露风险

2. 个人用户建议

使用密码管理器：生成并存储 16-20 位随机密码，避免重复使用
启用多因素认证：优先使用认证器应用（如 Google Authenticator），避免 SMS 验证码
定期更换密码：关键账户（银行、邮箱）每 6-12 个月更换一次
不存储明文密码：避免在文件、消息或浏览器中保存密码
检查密码泄露：使用卡巴斯基密码检查工具，检测账户是否在暗网泄露

六、历史对比与趋势分析

1. 硬件性能与破解效率演变

2024 年：RTX 4090 可在 17 秒内破解 8 位纯数字密码，59 分钟内破解 8 位大小写字母 + 数字密码
2026 年：RTX 5090 将 MD5 破解速度提升 34%，单卡即可在 1 小时内破解 60% 的泄露密码
未来趋势：AI 辅助破解与专用硬件结合，将进一步缩短破解时间

2. 密码安全形势恶化

2024 年：59% 的 MD5 密码可在 1 小时内破解
2026 年：60% 的 MD5 密码可在 1 小时内破解，48% 在 1 分钟内破解
主要原因：用户密码习惯未改善，硬件性能持续提升，攻击成本不断降低

七、结论与行动呼吁

卡巴斯基的最新研究再次证实，MD5 加密已无安全价值 ，继续使用将使企业和个人面临严重的安全风险。攻击者只需单块 RTX 5090 显卡 和几美元云服务费用，就能在 1 小时内破解 60% 的 MD5 哈希密码，48% 的密码甚至在 1 分钟内即告沦陷。

立即行动建议：

企业：制定 MD5 迁移计划，6 个月内完成所有密码存储算法升级
开发者：在新系统中禁止使用 MD5，优先选择 bcrypt 或 Argon2
个人：检查所有账户密码，更换弱密码，启用多因素认证，使用密码管理器

官方报告链接 ：https://www.kaspersky.com/blog/passwords-hacking-research-2026/55743/

（注：本文内容来自MelodyCloud Studio）