Trong vòng một giờ, hơn 60 % mật khẩu sẽ được mở khóa từ mã băm MD5 bằng cách sử dụng duy nhất một GeForce RTX 5090

Cách nhanh nhất để phá vỡ mật khẩu MD5: kết quả nghiên cứu của “Lаборатория Касперского”

*Năm 2024, các nhà nghiên cứu từ “Лаборатория Касперского” đã phân tích hơn 231 triệu mật khẩu bị đánh cắp, được thu thập từ rò rỉ trên darknet. Sau khi mã hóa bằng thuật toán MD5, họ phát hiện ra rằng:*

- 60 % mật khẩu có thể bị phá vỡ trong vòng chưa đầy một giờ.

- 48 % – đã trong vòng một phút.

*Để thực hiện điều này chỉ cần một card đồ họa Nvidia GeForce RTX 5090.*

Tại sao quá nhanh
1. Độ phức tạp thấp của MD5

Thuật toán MD5 đã được coi là lỗi thời; các hash của nó dễ dàng bị thử lại bằng GPU hiện đại.

2. Tối ưu hóa cho mật khẩu cụ thể

Phân tích hơn 200 triệu mật khẩu đã phát hiện ra những quy luật (mẫu thường gặp, từ ngữ đơn giản,…), giúp giảm thời gian tìm kiếm.

3. Sức mạnh của card đồ họa tăng lên

Kể từ lần nghiên cứu đầu tiên vào năm 2024, hiệu suất GPU đã tăng đáng kể, trong khi mật khẩu không trở nên khó hơn.

Điều này có nghĩa gì cho người dùng
- Mật khẩu chỉ được bảo vệ bằng hash MD5 đã không còn an toàn. Nếu kẻ tấn công lấy được chúng từ rò rỉ, họ có thể nhanh chóng truy cập vào tài khoản.

- Các hacker chuyên nghiệp có thể thuê sức mạnh GPU từ các nhà cung cấp cloud, vì vậy ngay cả những card giá rẻ cũng không phải là mối đe dọa nhỏ.

Tại sao vấn đề phức tạp hơn việc “đổi sang SHA”
Các chuyên gia của The Register nhấn mạnh một số yếu tố:

1. Thiếu nhận thức

Người dùng và tổ chức ít biết về nguy cơ của mật khẩu yếu.

2. Yêu cầu mật khẩu yếu

Trên nhiều nền tảng, quy định vẫn còn nhẹ nhàng, không bắt buộc độ dài, độ phức tạp hay cập nhật thường xuyên.

3. Thiếu biện pháp bảo vệ bổ sung

- Xác thực hai yếu tố (2FA) vẫn được coi là “đủ”; sinh trắc học được xem là yếu tố thứ hai an toàn nhất.
- Hệ thống không luôn được bảo vệ khỏi di chuyển ngang của kẻ tấn công sau khi đã xâm nhập ban đầu.

Những gì có thể làm
- Chuyển sang hash mạnh hơn (bcrypt, Argon2) và sử dụng muối.

- Áp dụng quy định mật khẩu nghiêm ngặt: tối thiểu 12 ký tự, kết hợp chữ hoa, chữ thường, số và ký hiệu đặc biệt.

- Bắt buộc xác thực hai yếu tố, ưu tiên với sinh trắc học hoặc token phần cứng.

- Kiểm tra an ninh định kỳ và đào tạo nhân viên.

Như vậy, ngay cả mật khẩu MD5 đơn giản đã trở thành mối đe dọa nghiêm trọng. Các biện pháp bảo vệ toàn diện là cách duy nhất để giảm thiểu rủi ro tấn công mạng trong điều kiện hiện nay.