במשך שעה יותר מ־60 % מהסיסמאות מתפרקות ממפתח MD5 באמצעות כרטיס גרפי יחיד מסוג GeForce RTX 5090

כיצד ניתן לפרוץ סיסמאות MD5 במהירות: תוצאות מחקר של "לברטוריית קאספרסקי"

*בשנת 2024, חוקרים מ"לברטוריית קאספרסקי" ניתחו מעל ל-231 מיליון סיסמאות שנגנבו מהדליקות ב"דארק‑נטו". לאחר חישוב האשטם שלהם באמצעות אלגוריתם MD5 התגלה כי:*

- 60 % מהסיסמאות ניתן לפרוץ תוך פחות משעה.

- 48 % – כבר בתוך דקה.

*לשם כך נדרשת רק כרטיס גרפי Nvidia GeForce RTX 5090.*

למה זה כל כך מהר
1. מורכבות נמוכה של MD5

אלגוריתם MD5 מוכר כעת כישן; האשטמים שלו ניתן לעבור בקלות באמצעות GPU מודרניים.

2. אופטימיזציה לסיסמאות ספציפיות

ניתוח של מעל 200 מיליון סיסמאות זיהה דפוסים (תבניות נפוצות, מילים פשוטות וכו'), שמאפשרים לצמצם את זמן החיפוש.

3. עלייה בכוח המחשוב הגרפי

מאז המחקר הראשון ב-2024 ביצועי GPU גדלו משמעותית, והסיסמאות עצמן לא הפכו למורכבות יותר.

מה זה אומר למשתמשים
- סיסמאות שמוגנות רק באמצעות האשטם MD5 כבר אינן נחשבות בטוחות. אם מתקפה קיבלה אותן מהדליקה, היא יכולה לקבל גישה לחשבונות במהירות.

- מקצועני הוּאקינג יכולים לשכור כוח GPU מספקי ענן, ולכן גם כרטיסים זולים אינם מציגים סיכון.

למה הבעיה מורכבת יותר מעבורת ל-SHA
המומחים מ-The Register מציינים מספר גורמים:

1. חוסר מודעות

משתמשים וארגונים יודעים מעט על הסיכונים של סיסמאות חלשות.

2. דרישות חלשות לסיסמאות

ברוב הפלטפורמות הכללים נשארים רכים, ללא דרישה לאורך, מורכבות או עדכון קבוע.

3. חוסר באמצעי הגנה נוספים

- אימות דו‑גורמי (2FA) עדיין נחשב ל"מספיק"; ביומטריה נחשבת למשתנה השני המהימן ביותר.

- מערכות אינן תמיד מוגנות מהעברה אופקית של מתקפה לאחר פריצה ראשונית.

מה ניתן לעשות
- מעבר לאשטמים חזקים יותר (bcrypt, Argon2) ושימוש במלח.

- יישום כללים מחמירים לסיסמאות: מינימום 12 תווים, שילוב אותיות, מספרים וסימנים מיוחדים.

- אימות דו‑גורמי חובה, עדיף עם ביומטריה או טוקנים חומריים.

- ביקורת אבטחה סדירה והדרכת צוות.

לכן, גם סיסמאות MD5 פשוטות כבר מהוות איום משמעותי. צעדי הגנה מקיפים הם הדרך היחידה להפחית את הסיכון להתקפות סייבר בתנאים המודרניים.