Κατά τη διάρκεια μιας ώρας πάνω από το 60 % των κωδικών ξεκλειδώνονται από τον MD5‑hash με τη χρήση ενός μόνο GeForce RTX 5090

Πόσο γρήγορα μπορεί να παραβιαστεί ένα MD5‑password: αποτελέσματα της έρευνας «Laboratory Κασπερσκό»

*Το 2024, ερευνητές από το «Laboratory Κασπερσκό» αναλύθηκαν πάνω από 231 εκτ. κλεμμένα passwords που συλλέχθηκαν από διαρροές στο dark‑net. Μετά τη δημιουργία hash με τον αλγόριθμο MD5 αποδείχθηκε ότι:*

- Το 60 % των passwords μπορεί να παραβιαστεί σε λιγότερο από μία ώρα.

- Το 48 % – ήδη μέσα σε ένα λεπτό.

*Για αυτό απαιτείται μόνο μια κάρτα Nvidia GeForce RTX 5090.*

Γιατί είναι τόσο γρήγορα
1. Χαμηλή πολυπλοκότητα του MD5

Ο αλγόριθμος MD5 έχει αποδοθεί παλιάς τεχνολογίας· τα hash του μπορούν να αναζητηθούν εύκολα με σύγχρονες GPU.

2. Βελτιστοποίηση για συγκεκριμένα passwords

Η ανάλυση 200 + εκτ. passwords αποκάλυψε μοτίβα (συνήθεις πρότυπα, απλά λέξεις κλπ.) που μειώνουν το χρόνο αναζήτησης.

3. Αύξηση της ισχύος των γραφικών επεξεργαστών

Από την πρώτη έρευνα του 2024, η απόδοση GPU αυξήθηκε σημαντικά, ενώ τα ίδια passwords δεν έγιναν πιο δύσκολα.

Τι σημαίνει για τους χρήστες
- Τα passwords που προστατεύονται μόνο με MD5‑hash δεν θεωρούνται πλέον ασφαλή. Αν ένας επιτιθέμενος τα αποκτήσει από διαρροή, μπορεί να έχει γρήγορα πρόσβαση στους λογαριασμούς.

- Οι επαγγελματίες χάκερ μπορούν να νοικιάσουν GPU ισχύ από cloud παρόχους, οπότε ακόμη και οικονομικές κάρτες δεν αποτελούν απειλή.

Γιατί το πρόβλημα είναι πιο δύσκολο από την «μετάβαση στο SHA»
Οι ειδικοί του The Register επισημαίνουν πολλούς παράγοντες:

1. Μη επαρκής ενημέρωση

Οι χρήστες και οι οργανισμοί δεν γνωρίζουν καλά τους κινδύνους των αδύναμων passwords.

2. Ανεπαρκείς απαιτήσεις για passwords

Σε πολλές πλατφόρμες τα κριτήρια παραμένουν ήπια, χωρίς να απαιτείται μήκος, πολυπλοκότητα ή τακτική ενημέρωση.

3. Έλλειψη πρόσθετων μέτρων ασφαλείας

- Η διπλή επαλήθευση (2FA) εξακολουθεί να θεωρείται «αρκετή»· η βιομετρία θεωρείται ο πιο αξιόπιστος δεύτερος παράγοντας.

- Τα συστήματα δεν προστατεύονται πάντα από την οριζόντια μετακίνηση του επιτιθέμενου μετά την αρχική παραβίαση.

Τι μπορεί να γίνει
- Μετάβαση σε πιο ανθεκτικά hash (bcrypt, Argon2) και χρήση αλάτων.

- Εφαρμογή αυστηρών κανόνων για passwords: ελάχιστο 12 χαρακτήρες, συνδυασμός γραμμάτων, αριθμών και ειδικών συμβόλων.

- Υποχρεωτική διπλή επαλήθευση, προτιμότερα με βιομετρία ή υλικούς tokens.

- Τακτικός έλεγχος ασφαλείας και εκπαίδευση προσωπικού.

Έτσι, ακόμη και απλά MD5‑passwords αποτελούν σοβαρή απειλή. Οι πολύπλοκες μέθοδοι προστασίας είναι ο μοναδικός τρόπος για να μειώσετε τον κίνδυνο κυβερνοεπιθέσεων στις σύγχρονες συνθήκες.