GermanWikipedia - /page/entry.mu

Micron Document

<!DOCTYPE html>

<title>Message-Digest Algorithm 5</title>

</head>

<h1 id="firstHeading" class="firstHeading mw-first-heading">Message-Digest Algorithm 5</h1>

</header>

</div>

<div id="mw-content-text" class="mw-body-content mw-content-ltr" lang="de" dir="ltr"><div class="mw-content-ltr mw-parser-output" lang="de" dir="ltr">Message-Digest Algorithm 5 (MD5) ist eine verbreitete <a href="Kryptographische_Hashfunktion" title="Kryptographische Hashfunktion">kryptographische Hashfunktion</a>, die aus einer beliebigen Nachricht einen 128-Bit-Hashwert berechnet. Sie wurde 1991 von <a href="Ronald_L._Rivest" title="Ronald L. Rivest">Ronald L. Rivest</a> am <a href="Massachusetts_Institute_of_Technology" title="Massachusetts Institute of Technology">Massachusetts Institute of Technology</a> als Nachfolger von <a href="Message-Digest_Algorithm_4" title="Message-Digest Algorithm 4">MD4</a> entwickelt. Der englische Begriff „Message Digest“ steht für einen kurzen Zahlenwert fester Länge, der <a href="Determinismus_(Algorithmus)" title="Determinismus (Algorithmus)">deterministisch</a> aus der gegebenen Nachricht berechnet wird.

Inzwischen ist bekannt, dass MD5 keine <a href="Kollisionsresistenz" title="Kollisionsresistenz">Kollisionsresistenz</a> bietet und somit unsicher ist. Auch die <a href="Preimage-Angriff" title="Preimage-Angriff">Preimage-Resistenz</a> ist theoretisch gebrochen, allerdings ist ein Preimage-Angriff gegen MD5 nicht praktikabel.

<div class="mw-heading mw-heading2"><h2 id="MD5-Hashwert">MD5-Hashwert</h2></div>

Die 128 Bit langen MD5-Hashwerte werden üblicherweise als 32-stellige <a href="Hexadezimal" class="mw-redirect" title="Hexadezimal">Hexadezimalzahl</a> notiert. Beispiel für eine 59 Byte lange <a href="American_Standard_Code_for_Information_Interchange" title="American Standard Code for Information Interchange">ASCII</a>-Eingabe mit zugehörigem MD5-Hashwert:

<pre>md5("Franz jagt im komplett verwahrlosten Taxi quer durch Bayern") =

a3cca2b2aa1e3b5b3b5aad99a8529074

</pre>

Es ist praktisch unmöglich, eine weitere Nachricht, die genau diesen Hashwert ergibt, zu bestimmen. Eine beliebige Änderung des Textes (im Folgenden wird nur ein Buchstabe verändert) erzeugt aufgrund des <a href="Lawineneffekt_(Kryptographie)" title="Lawineneffekt (Kryptographie)">Lawineneffekts</a> einen komplett anderen Hashwert:

<pre>md5("Frank jagt im komplett verwahrlosten Taxi quer durch Bayern") =

7e716d0e702df0505fc72e2b89467910

</pre>

Der Hash einer Zeichenfolge der Länge null ist:

<pre>md5("") =

d41d8cd98f00b204e9800998ecf8427e

</pre>

<div class="mw-heading mw-heading2"><h2 id="Verwendung_und_Verfügbarkeit">Verwendung und Verfügbarkeit</h2></div>

Unter den meisten <a href="Linux" title="Linux">Linux</a>-Distributionen wird das Programm md5sum als Bestandteil der <a href="GNU_Core_Utilities" title="GNU Core Utilities">coreutils</a> standardmäßig installiert.

Auf <a href="Berkeley_Software_Distribution" title="Berkeley Software Distribution">BSD</a>-abgeleiteten Betriebssystemen wie <a href="MacOS" title="MacOS">macOS</a> gibt es das Kommando md5. In <a href="Python_(Programmiersprache)" title="Python (Programmiersprache)">Python</a> ist MD5 in der <a href="Programmbibliothek" title="Programmbibliothek">Programmbibliothek (hashlib)</a> enthalten.

Auf vielen anderen <a href="Unix" title="Unix">Unix</a>-Derivaten ist Python installiert oder man kann sich mit dem meist installierten Programm <a href="OpenSSL" title="OpenSSL">OpenSSL</a> behelfen. Python kann auch online aufgerufen werden. <a href="Microsoft_Windows" title="Microsoft Windows">Microsoft-Windows</a>-Betriebssysteme ab den Versionen <a href="Microsoft_Windows_8#Windows_8.1" title="Microsoft Windows 8">Windows 8.1</a> bzw. <a href="Microsoft_Windows_Server_2012#Windows_Server_2012_R2" title="Microsoft Windows Server 2012">Windows Server 2012 R2</a> verfügen standardmäßig über das <a href="PowerShell" title="PowerShell">PowerShell</a> Cmdlet Get-Filehash.<a href="#cite_note-1">[1]</a>

<div class="mw-heading mw-heading3"><h3 id="Prüfsumme_einer_Datei">Prüfsumme einer Datei</h3></div>

Nach erfolgreichem Download einer oder mehrerer Dateien kann der Anbieter der Daten in einer weiteren Datei den dazugehörigen MD5-Hashwert zur Verfügung stellen. Über ein Prüfprogramm kann der Hashwert aus der heruntergeladenen Datei berechnet werden, der dann mit dem zur Verfügung gestellten Hashwert verglichen wird. Sind beide Hashwerte identisch, ist die <a href="Integrit%C3%A4t_(Informationssicherheit)" title="Integrität (Informationssicherheit)">Integrität</a> der heruntergeladenen Datei bestätigt. Demnach traten beim Download der Datei keine Übertragungsfehler auf, was dem Anwendungszweck einer <a href="Pr%C3%BCfsumme" title="Prüfsumme">Prüfsumme</a> entspricht. Dies bietet keine Sicherheit hinsichtlich einer gezielten Datenmanipulation durch einen Angreifer (<a href="Man-in-the-Middle-Angriff" title="Man-in-the-Middle-Angriff">Man-in-the-Middle-Angriff</a>), da der Angreifer neben den übertragenen Daten auch den angebotenen MD5-Hashwert manipulieren kann. Bei Verwendung eines <a href="Spiegelserver" title="Spiegelserver">Spiegelservers</a> für den Download stellt beispielsweise der Betreiber des Spiegelservers einen möglichen Angreifer dar. Um eine Manipulation durch diesen auszuschließen, muss entweder der MD5-Hashwert aus einer vertrauenswürdigen Quelle über einen sicheren Kanal bezogen werden, oder die <a href="Authentizit%C3%A4t" title="Authentizität">Authentizität</a> der Datei muss durch ein anderes Verfahren sichergestellt werden. Dazu eignet sich eine <a href="Digitale_Signatur" title="Digitale Signatur">digitale Signatur</a> oder ein <a href="Message_Authentication_Code" title="Message Authentication Code">Message Authentication Code</a>, der eine Hashfunktion mit einem schlüsselbasierten, kryptographischen Mechanismus kombiniert.

<div class="mw-heading mw-heading3"><h3 id="Zufallsgenerator">Zufallsgenerator</h3></div>

Wie jede kryptographische Hashfunktion kann MD5 als deterministischer Generator von <a href="Kryptographisch_sicherer_Zufallszahlengenerator" title="Kryptographisch sicherer Zufallszahlengenerator">Pseudo-Zufallszahlen</a> genutzt werden. Dadurch lässt sich zum Beispiel eine <a href="Stromverschl%C3%BCsselung" title="Stromverschlüsselung">Stromverschlüsselung</a> realisieren.

<div class="mw-heading mw-heading3"><h3 id="Datenbanken">Datenbanken</h3></div>

MD5 kann als Hashfunktion für <a href="Datenbankindex" title="Datenbankindex">Datenbankindizes</a> verwendet werden. In gängigen SQL-Datenbankmanagementsysteme wie <a href="MySQL" title="MySQL">MySQL</a> oder <a href="PostgreSQL" title="PostgreSQL">PostgreSQL</a> ist MD5 als <a href="Funktion_(Programmierung)" title="Funktion (Programmierung)">Funktion</a> eingebaut. In dem folgenden Beispiel wird zu jeder gespeicherten <a href="Uniform_Resource_Locator" title="Uniform Resource Locator">URL</a> zusätzlich deren MD5-Hashwert gespeichert. Über den Hashwert lässt sich eine Abfrage realisieren, die effizienter als eine textbasierte Suche ist.

<div class="mw-highlight mw-highlight-lang-sql mw-content-ltr" dir="ltr"><pre>CREATE TABLE `urls` (

`url` VARCHAR(4096) DEFAULT NULL,

`url_md5` CHAR(32) GENERATED ALWAYS AS (MD5(`url`)) STORED,

UNIQUE KEY `index_url` (`url_md5`)

);

</pre></div>

<div class="mw-heading mw-heading2"><h2 id="Algorithmus">Algorithmus</h2></div>

MD5 basiert auf der <a href="Merkles_Meta-Verfahren" class="mw-redirect" title="Merkles Meta-Verfahren">Merkle-Damgård-Konstruktion</a>, um aus einer Nachricht variabler Länge eine Ausgabe fester Länge von 128 Bit zu erzeugen. Zuerst wird eine Eins an die Ausgangsnachricht angehängt. Danach wird die Ausgangsnachricht mit Nullen so aufgefüllt, dass ihre Länge 64 Bits davon entfernt ist, durch 512 teilbar zu sein. Nun wird eine 64-Bit-Zahl, die die Länge der Ausgangsnachricht in Bits kodiert, angehängt. Die Nachrichtenlänge ist jetzt durch 512 teilbar.

Der Hauptbestandteil von MD5 ist eine Einweg-Kompressionsfunktion, die nacheinander die 512-Bit-Eingabeblöcke verarbeitet. Die Kompressionsfunktion arbeitet mit einem 128-Bit-Puffer, der in vier 32-Bit-Wörter A, B, C und D unterteilt ist. Diese werden beim ersten Nachrichtenblock mit festgelegten Konstanten <a href="Initialisierungsvektor" title="Initialisierungsvektor">initialisiert</a>. Die Behandlung eines Nachrichtenblocks geschieht in vier einander ähnlichen Stufen, die „Runden“ genannt werden. Jede Runde besteht aus 16 Operationen, basierend auf einer nichtlinearen Funktion <math xmlns="http://www.w3.org/1998/Math/MathML" alttext="{\displaystyle F}">

</mstyle>

</mrow>

<annotation encoding="application/x-tex">{\displaystyle F}</annotation>

</semantics>

</math><img src="./_assets_/eb734a37dd21ce173a46342d1cc64c92/545fd099af8541605f7ee55f08225526be88ce57.svg" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.338ex; width:1.741ex; height:2.176ex;" alt="{\displaystyle F}" loading="lazy">, modularer Addition und <a href="Bitweiser_Operator#Zyklische_Verschiebung_ohne_Übertragsbit" title="Bitweiser Operator">Linksrotation</a>. Es gibt vier mögliche Varianten der Funktion <math xmlns="http://www.w3.org/1998/Math/MathML" alttext="{\displaystyle F}">

</mstyle>

</mrow>

<annotation encoding="application/x-tex">{\displaystyle F}</annotation>

</semantics>

</math><img src="./_assets_/eb734a37dd21ce173a46342d1cc64c92/545fd099af8541605f7ee55f08225526be88ce57.svg" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.338ex; width:1.741ex; height:2.176ex;" alt="{\displaystyle F}" loading="lazy">, in jeder Runde wird davon eine andere verwendet (hier genannt <math xmlns="http://www.w3.org/1998/Math/MathML" alttext="{\displaystyle F}">

</mstyle>

</mrow>

<annotation encoding="application/x-tex">{\displaystyle F}</annotation>

</semantics>

</math><img src="./_assets_/eb734a37dd21ce173a46342d1cc64c92/545fd099af8541605f7ee55f08225526be88ce57.svg" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.338ex; width:1.741ex; height:2.176ex;" alt="{\displaystyle F}" loading="lazy">, <math xmlns="http://www.w3.org/1998/Math/MathML" alttext="{\displaystyle G}">

</mstyle>

</mrow>

<annotation encoding="application/x-tex">{\displaystyle G}</annotation>

</semantics>

</math><img src="./_assets_/eb734a37dd21ce173a46342d1cc64c92/f5f3c8921a3b352de45446a6789b104458c9f90b.svg" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.338ex; width:1.827ex; height:2.176ex;" alt="{\displaystyle G}" loading="lazy">, <math xmlns="http://www.w3.org/1998/Math/MathML" alttext="{\displaystyle H}">

</mstyle>

</mrow>

<annotation encoding="application/x-tex">{\displaystyle H}</annotation>

</semantics>

</math><img src="./_assets_/eb734a37dd21ce173a46342d1cc64c92/75a9edddcca2f782014371f75dca39d7e13a9c1b.svg" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.338ex; width:2.064ex; height:2.176ex;" alt="{\displaystyle H}" loading="lazy"> und <math xmlns="http://www.w3.org/1998/Math/MathML" alttext="{\displaystyle I}">

</mstyle>

</mrow>

<annotation encoding="application/x-tex">{\displaystyle I}</annotation>

</semantics>

</math><img src="./_assets_/eb734a37dd21ce173a46342d1cc64c92/535ea7fc4134a31cbe2251d9d3511374bc41be9f.svg" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.338ex; width:1.172ex; height:2.176ex;" alt="{\displaystyle I}" loading="lazy">):

</mrow>

</mrow>

</mrow>

</mstyle>

</mrow>

<annotation encoding="application/x-tex">{\displaystyle F(X,Y,Z)=(X\wedge {Y})\vee (\neg {X}\wedge {Z})}</annotation>

</semantics>

</math><img src="./_assets_/eb734a37dd21ce173a46342d1cc64c92/29bfebad4e7bdd4a2fc1210694eb5664262faecc.svg" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.838ex; width:34.481ex; height:2.843ex;" alt="{\displaystyle F(X,Y,Z)=(X\wedge {Y})\vee (\neg {X}\wedge {Z})}" loading="lazy"></dd>

</mrow>

</mrow>

</mstyle>

</mrow>

<annotation encoding="application/x-tex">{\displaystyle G(X,Y,Z)=(X\wedge {Z})\vee (Y\wedge \neg {Z})}</annotation>

</semantics>

</math><img src="./_assets_/eb734a37dd21ce173a46342d1cc64c92/7068038702afd55190f991518f3a9188565f32d0.svg" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.838ex; width:34.267ex; height:2.843ex;" alt="{\displaystyle G(X,Y,Z)=(X\wedge {Z})\vee (Y\wedge \neg {Z})}" loading="lazy"></dd>

</mstyle>

</mrow>

<annotation encoding="application/x-tex">{\displaystyle H(X,Y,Z)=X\oplus Y\oplus Z}</annotation>

</semantics>

</math><img src="./_assets_/eb734a37dd21ce173a46342d1cc64c92/c121ed0510b6ad3ffde9b89cec96ff7552ae9236.svg" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.838ex; width:25.587ex; height:2.843ex;" alt="{\displaystyle H(X,Y,Z)=X\oplus Y\oplus Z}" loading="lazy"></dd>

</mrow>

</mstyle>

</mrow>

<annotation encoding="application/x-tex">{\displaystyle I(X,Y,Z)=Y\oplus (X\vee \neg {Z})}</annotation>

</semantics>

</math><img src="./_assets_/eb734a37dd21ce173a46342d1cc64c92/2f119366de7d323f5e02b8d12a741968fa9d0f99.svg" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.838ex; width:27.797ex; height:2.843ex;" alt="{\displaystyle I(X,Y,Z)=Y\oplus (X\vee \neg {Z})}" loading="lazy"></dd></dl>

</mstyle>

</mrow>

<annotation encoding="application/x-tex">{\displaystyle \oplus ,\wedge ,\vee ,\neg }</annotation>

</semantics>

</math><img src="./_assets_/eb734a37dd21ce173a46342d1cc64c92/ed39414f7a4720bbf82749a9fcd3ebb15220ea72.svg" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.671ex; width:9.561ex; height:2.343ex;" alt="{\displaystyle \oplus ,\wedge ,\vee ,\neg }" loading="lazy"> stehen jeweils für <a href="Bitweiser_Operator" title="Bitweiser Operator">bitweise</a> XOR, AND, OR und NOT-Operationen.

Das Ergebnis aus dem 128-Bit-Puffer wird zur Verarbeitung des nächsten Nachrichtenblocks weiterverwendet. Die Kompressionsfunktion wird nacheinander angewandt bis alle 512-Bit-Nachrichtenblöcke verarbeitet wurden. Die Ausgabe des Algorithmus ist ein 128 Bit langer MD5-Hashwert.

<div class="mw-heading mw-heading2"><h2 id="Referenzimplementierung">Referenzimplementierung</h2></div>

RFC 1321<a href="#cite_note-RFC1321-2">[2]</a> enthält auch unter dem Titel Appendix A Reference Implementation eine Implementierung des Algorithmus in C. Diese Implementierung aus dem Jahre 1992 von RSA Data Security, Inc. läuft auf vielen 64-Bit-Systemen fehlerhaft, sie berechnet falsche Hashwerte. Dies liegt an diesen Zeilen in der Datei global.h:

<div class="mw-highlight mw-highlight-lang-c mw-content-ltr" dir="ltr"><pre>/* UINT4 defines a four byte word */

typedef unsigned long int UINT4;

</pre></div>

Der Typ unsigned long int ist nicht notwendigerweise 4 Byte lang. Der Fehler kann behoben werden, indem man diese Zeilen ersetzt durch:

<div class="mw-highlight mw-highlight-lang-c mw-content-ltr" dir="ltr"><pre>#include <inttypes.h>

...

/* UINT4 defines a four byte word */

typedef uint32_t UINT4;

</pre></div>

Eine andere, lauffähige Implementierung von <a href="L_Peter_Deutsch" title="L Peter Deutsch">L Peter Deutsch</a> findet man auf Sourceforge.net. Diese Implementation ist aus der Spezifikation des RFC 1321<a href="#cite_note-RFC1321-2">[2]</a> abgeleitet und nicht aus der vorher erwähnten <a href="Referenzimplementierung" title="Referenzimplementierung">Referenzimplementierung</a> in RFC 1321. Darum sind bei Verwendung dieser Implementierung keinerlei Verweise auf RSA Data Security, Inc. notwendig.

<div class="mw-heading mw-heading2"><h2 id="Pseudocode">Pseudocode</h2></div>

Es folgt der <a href="Pseudocode" title="Pseudocode">Pseudocode</a> für den MD5-<a href="Algorithmus" title="Algorithmus">Algorithmus</a>.

<pre>// Beachte: Alle Variablen sind vorzeichenlose (unsigned) 32-Bit-Werte und

// verhalten sich bei Berechnungen <a href="Kongruenz_(Zahlentheorie)" title="Kongruenz (Zahlentheorie)">kongruent (≡)</a> modulo 2^32

</pre>

<pre> // Definition der linksrotation Funktion, c ist der übergebene Wert von s[i] - siehe Hauptschleife

linksrotation(x, c)

return (x << c)binär or (x >> (32-c));

</pre>

<pre>// s definiert die Anzahl der Bits, die pro Runde rotiert werden:

var uint[64] s, K

s[ 0..15] := { 7, 12, 17, 22, 7, 12, 17, 22, 7, 12, 17, 22, 7, 12, 17, 22}

s[16..31] := { 5, 9, 14, 20, 5, 9, 14, 20, 5, 9, 14, 20, 5, 9, 14, 20}

s[32..47] := { 4, 11, 16, 23, 4, 11, 16, 23, 4, 11, 16, 23, 4, 11, 16, 23}

s[48..63] := { 6, 10, 15, 21, 6, 10, 15, 21, 6, 10, 15, 21, 6, 10, 15, 21}

</pre>

<pre>// Verwende den binären Vorkommateil vom 2^32-fachen Betrag des Sinus

// von Integerwerten als Konstanten:

für alle i von 0 bis 63

(

K[i] := floor(abs(sin(i + 1)) × 2^32)

)

</pre>

<pre>// Alternativ kann man auch folgende Tabelle nutzen:

K[ 0.. 3] := { 0xd76aa478, 0xe8c7b756, 0x242070db, 0xc1bdceee }

K[ 4.. 7] := { 0xf57c0faf, 0x4787c62a, 0xa8304613, 0xfd469501 }

K[ 8..11] := { 0x698098d8, 0x8b44f7af, 0xffff5bb1, 0x895cd7be }

K[12..15] := { 0x6b901122, 0xfd987193, 0xa679438e, 0x49b40821 }

K[16..19] := { 0xf61e2562, 0xc040b340, 0x265e5a51, 0xe9b6c7aa }

K[20..23] := { 0xd62f105d, 0x02441453, 0xd8a1e681, 0xe7d3fbc8 }

K[24..27] := { 0x21e1cde6, 0xc33707d6, 0xf4d50d87, 0x455a14ed }

K[28..31] := { 0xa9e3e905, 0xfcefa3f8, 0x676f02d9, 0x8d2a4c8a }

K[32..35] := { 0xfffa3942, 0x8771f681, 0x6d9d6122, 0xfde5380c }

K[36..39] := { 0xa4beea44, 0x4bdecfa9, 0xf6bb4b60, 0xbebfbc70 }

K[40..43] := { 0x289b7ec6, 0xeaa127fa, 0xd4ef3085, 0x04881d05 }

K[44..47] := { 0xd9d4d039, 0xe6db99e5, 0x1fa27cf8, 0xc4ac5665 }

K[48..51] := { 0xf4292244, 0x432aff97, 0xab9423a7, 0xfc93a039 }

K[52..55] := { 0x655b59c3, 0x8f0ccc92, 0xffeff47d, 0x85845dd1 }

K[56..59] := { 0x6fa87e4f, 0xfe2ce6e0, 0xa3014314, 0x4e0811a1 }

K[60..63] := { 0xf7537e82, 0xbd3af235, 0x2ad7d2bb, 0xeb86d391 }

</pre>

<pre>// Initialisiere die Variablen: (laut RFC 1321)

var uint a0 := 0x67452301

var uint b0 := 0xEFCDAB89

var uint c0 := 0x98BADCFE

var uint d0 := 0x10325476

</pre>

<pre>// Vorbereitung der Nachricht 'message':

var uint message_laenge := bit_length(message)

erweitere message um bit "1"

erweitere message um bits "0" bis Länge von message in bits <a href="Kongruenz_(Zahlentheorie)" title="Kongruenz (Zahlentheorie)">≡</a> 448 (mod 512)

erweitere message um message_laenge als 64-Bit <a href="Little_endian" class="mw-redirect" title="Little endian">little-endian</a> Integer

</pre>

<pre>// Verarbeite die Nachricht in aufeinander folgenden 512-Bit-Blöcken:

für alle 512-Bit Block von message

(

unterteile Block in 16 32-bit <a href="Little_endian" class="mw-redirect" title="Little endian">little-endian</a> Worte M[i], 0 ≤ i ≤ 15

</pre>

<pre> // Initialisiere den Hash-Wert für diesen Block:

var uint A := a0

var uint B := b0

var uint C := c0

var uint D := d0

</pre>

<pre> // Hauptschleife:

// not Operator entspricht dem <a href="Einerkomplement" title="Einerkomplement">Einerkomplement</a>

für alle i von 0 bis 63

(

wenn 0 ≤ i ≤ 15 dann

F := (B and C) or ((not B) and D)

g := i

sonst wenn 16 ≤ i ≤ 31 dann

F := (B and D) or (C and (not D))

g := (5×i + 1) mod 16

sonst wenn 32 ≤ i ≤ 47 dann

F := B xor C xor D

g := (3×i + 5) mod 16

sonst wenn 48 ≤ i ≤ 63 dann

F := C xor (B or (not D))

g := (7×i) mod 16

wenn_ende

</pre>

<pre> temp := D

D := C

C := B

B := B + linksrotation((A + F + K[i] + M[g]), s[i])

A := temp

)

</pre>

<pre> // Addiere den Hash-Wert des Blocks zur Summe der vorherigen Hashes:

a0 := a0 + A

b0 := b0 + B

c0 := c0 + C

d0 := d0 + D

)

</pre>

<pre>var uint digest := a0 anfügen b0 anfügen c0 anfügen d0 // Darstellung als <a href="Little_endian" class="mw-redirect" title="Little endian">little-endian</a>

</pre>

Anstatt der Originalformulierung aus dem RFC 1321 kann zur Effizienzsteigerung Folgendes verwendet werden:

<pre>( 0 ≤ i ≤ 15): F := D xor (B and (C xor D))

(16 ≤ i ≤ 31): F := C xor (D and (B xor C))

</pre>

<div class="mw-heading mw-heading2"><h2 id="Sicherheit">Sicherheit</h2></div>

MD5 wurde mit dem Ziel entwickelt, eine höhere Sicherheit als sein Vorgänger <a href="Message-Digest_Algorithm_4" title="Message-Digest Algorithm 4">MD4</a> zu bieten, da <a href="Kryptoanalyse" title="Kryptoanalyse">Kryptoanalysen</a> dieser Zeit ergaben, dass MD4 wahrscheinlich nicht <a href="Kollisionsresistenz" title="Kollisionsresistenz">kollisionsresistent</a> ist. MD5 erlangte weite Verbreitung und wurde ursprünglich als kryptographisch sicher angesehen. Heute ist bekannt, dass MD5 keine <a href="Kollisionsresistenz" title="Kollisionsresistenz">Kollisionsresistenz</a> bietet. Mit geringem Aufwand lassen sich zwei unterschiedliche Nachrichten <math xmlns="http://www.w3.org/1998/Math/MathML" alttext="{\displaystyle M}">

</mstyle>

</mrow>

<annotation encoding="application/x-tex">{\displaystyle M}</annotation>

</semantics>

</math><img src="./_assets_/eb734a37dd21ce173a46342d1cc64c92/f82cade9898ced02fdd08712e5f0c0151758a0dd.svg" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.338ex; width:2.442ex; height:2.176ex;" alt="{\displaystyle M}" loading="lazy"> und <math xmlns="http://www.w3.org/1998/Math/MathML" alttext="{\displaystyle M'}">

<msup>

</msup>

</mstyle>

</mrow>

<annotation encoding="application/x-tex">{\displaystyle M'}</annotation>

</semantics>

</math><img src="./_assets_/eb734a37dd21ce173a46342d1cc64c92/5a3b2ef3304c46b5e7859eec0b1bc057c8eb3f75.svg" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.338ex; width:3.183ex; height:2.509ex;" alt="{\displaystyle M'}" loading="lazy"> erzeugen, die denselben Hashwert <math xmlns="http://www.w3.org/1998/Math/MathML" alttext="{\displaystyle \operatorname {MD5} (M)=\operatorname {MD5} (M')}">

<msup>

</msup>

</mstyle>

</mrow>

<annotation encoding="application/x-tex">{\displaystyle \operatorname {MD5} (M)=\operatorname {MD5} (M')}</annotation>

</semantics>

</math><img src="./_assets_/eb734a37dd21ce173a46342d1cc64c92/99669d4ffdd41da3a7d7aee3513692dbd36d7962.svg" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.838ex; width:22.481ex; height:3.009ex;" alt="{\displaystyle \operatorname {MD5} (M)=\operatorname {MD5} (M')}" loading="lazy"> erzeugen. Nicht alle kryptographischen Anwendungen erfordern Kollisionsresistenz. Beispielsweise setzt die <a href="Schnorr-Signatur" title="Schnorr-Signatur">Schnorr-Signatur</a>, anders als die Signatur auf Basis von <a href="RSA-Kryptosystem" title="RSA-Kryptosystem">RSA</a> oder <a href="Digital_Signature_Algorithm" title="Digital Signature Algorithm">Digital Signature Algorithm</a>, keine kollisionsresistente Hashfunktion voraus.

In Internetstandards und technischen Richtlinien, beispielsweise von der <a href="Internet_Engineering_Task_Force" title="Internet Engineering Task Force">IETF</a><a href="#cite_note-RFC6151-3">[3]</a> oder dem <a href="Bundesamt_f%C3%BCr_Sicherheit_in_der_Informationstechnik" title="Bundesamt für Sicherheit in der Informationstechnik">BSI</a>,<a href="#cite_note-4">[4]</a> wird heute von der Verwendung von MD5 abgeraten.

<div class="mw-heading mw-heading3"><h3 id="Preimage-Angriffe">Preimage-Angriffe</h3></div>

Seit 2009 ist ein theoretischer <a href="Preimage-Angriff" title="Preimage-Angriff">Preimage-Angriff</a> auf MD5 bekannt, der jedoch mit <math xmlns="http://www.w3.org/1998/Math/MathML" alttext="{\displaystyle 2^{123,4}}">

<msup>

</mrow>

</msup>

</mstyle>

</mrow>

<annotation encoding="application/x-tex">{\displaystyle 2^{123,4}}</annotation>

</semantics>

</math><img src="./_assets_/eb734a37dd21ce173a46342d1cc64c92/07e0af4d2a1b7b9a41cf698ef3400140f8998ac9.svg" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.338ex; width:5.14ex; height:2.676ex;" alt="{\displaystyle 2^{123,4}}" loading="lazy"> MD5-Hashoperationen einen Rechenaufwand jenseits der Praktikabilität erfordert.<a href="#cite_note-5">[5]</a> Bei einem Preimage-Angriff sucht man zu einem vorgegebenen Hashwert <math xmlns="http://www.w3.org/1998/Math/MathML" alttext="{\displaystyle \operatorname {MD5} (M)}">

</mstyle>

</mrow>

<annotation encoding="application/x-tex">{\displaystyle \operatorname {MD5} (M)}</annotation>

</semantics>

</math><img src="./_assets_/eb734a37dd21ce173a46342d1cc64c92/125ae340750daba547237125db3b84021e4fa520.svg" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.838ex; width:9.321ex; height:2.843ex;" alt="{\displaystyle \operatorname {MD5} (M)}" loading="lazy"> die Nachricht <math xmlns="http://www.w3.org/1998/Math/MathML" alttext="{\displaystyle M}">

</mstyle>

</mrow>

<annotation encoding="application/x-tex">{\displaystyle M}</annotation>

</semantics>

</math><img src="./_assets_/eb734a37dd21ce173a46342d1cc64c92/f82cade9898ced02fdd08712e5f0c0151758a0dd.svg" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.338ex; width:2.442ex; height:2.176ex;" alt="{\displaystyle M}" loading="lazy"> oder eine andere Nachricht <math xmlns="http://www.w3.org/1998/Math/MathML" alttext="{\displaystyle M'}">

<msup>

</msup>

</mstyle>

</mrow>

<annotation encoding="application/x-tex">{\displaystyle M'}</annotation>

</semantics>

</math><img src="./_assets_/eb734a37dd21ce173a46342d1cc64c92/5a3b2ef3304c46b5e7859eec0b1bc057c8eb3f75.svg" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.338ex; width:3.183ex; height:2.509ex;" alt="{\displaystyle M'}" loading="lazy">, so dass man <math xmlns="http://www.w3.org/1998/Math/MathML" alttext="{\displaystyle \operatorname {MD5} (M)=\operatorname {MD5} (M')}">

<msup>

</msup>

</mstyle>

</mrow>

<annotation encoding="application/x-tex">{\displaystyle \operatorname {MD5} (M)=\operatorname {MD5} (M')}</annotation>

</semantics>

</math><img src="./_assets_/eb734a37dd21ce173a46342d1cc64c92/99669d4ffdd41da3a7d7aee3513692dbd36d7962.svg" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.838ex; width:22.481ex; height:3.009ex;" alt="{\displaystyle \operatorname {MD5} (M)=\operatorname {MD5} (M')}" loading="lazy"> erhält. Da man beim Preimage-Angriff <math xmlns="http://www.w3.org/1998/Math/MathML" alttext="{\displaystyle M}">

</mstyle>

</mrow>

<annotation encoding="application/x-tex">{\displaystyle M}</annotation>

</semantics>

Ein Preimage-Angriff wäre beispielsweise erforderlich, um nachträglich ein gefälschtes Dokument zu erstellen, das zu einer bestehenden, mit <a href="RSA-Kryptosystem" title="RSA-Kryptosystem">RSA</a> und MD5 erzeugten <a href="Digitale_Signatur" title="Digitale Signatur">Signatur</a> passt. Es ist jedoch durch einen Kollisionsangriff möglich, zwei Dokumente zu erstellen, die denselben MD5-Hashwert ergeben, dann das erste, legitime Dokument signieren zu lassen, und anschließend dieses durch das zweite, gefälschte Dokument auszutauschen.

<div class="mw-heading mw-heading3"><h3 id="Kollisionsangriffe">Kollisionsangriffe</h3></div>

Bereits 1994 veröffentlichten Bert de Boer und Antoon Bosselaers einen Algorithmus zum Erzeugen von Pseudokollisionen auf die Kompressionsfunktion von MD5: zwei unterschiedliche Initialisierungskonstanten ergeben für dieselbe Nachricht denselben Hashwert.<a href="#cite_note-6">[6]</a>

1996 fand <a href="Hans_Dobbertin_(Kryptologe)" title="Hans Dobbertin (Kryptologe)">Hans Dobbertin</a> eine Kollision für zwei unterschiedliche Nachrichten. Es handelt sich dabei um eine echte Kollision, also zwei speziell präparierte Nachrichten, die sich unterscheiden, aber dennoch denselben Hashwert ergeben. Allerdings verwendete Dobbertin eine modifizierte MD5-Variante, in der andere Initialisierungskonstanten (für A, B, C, D) verwendet werden. Auch war es nicht möglich, den Inhalt der kollidierenden Nachrichten beliebig vorzugeben. Somit waren praktische Angriffe auf MD5 zwar nicht möglich, aber die ersten Schwächen des Algorithmus wurden deutlich.

Im August 2004 gelang es einer chinesischen Forschergruppe um Xiaoyun Wang Kollisionen in MD5 systematisch zu erzeugen.<a href="#cite_note-7">[7]</a> Der Anfang der Nachrichten kann beliebig gewählt werden, ist aber bei beiden Nachrichten identisch (Common-Prefix-Kollision): <math xmlns="http://www.w3.org/1998/Math/MathML" alttext="{\displaystyle M_{0},M_{1},...,M_{i-1}}">

<msub>

</mrow>

</msub>

<msub>

</mrow>

</msub>

<msub>

</mrow>

</msub>

</mstyle>

</mrow>

<annotation encoding="application/x-tex">{\displaystyle M_{0},M_{1},...,M_{i-1}}</annotation>

</semantics>

</math><img src="./_assets_/eb734a37dd21ce173a46342d1cc64c92/8ec8e0ccb6db4c719d4687e6041c95166ad8736a.svg" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.671ex; width:17.975ex; height:2.509ex;" alt="{\displaystyle M_{0},M_{1},...,M_{i-1}}" loading="lazy">. Dahinter folgen zwei präparierte Paare von Nachrichtenblöcken <math xmlns="http://www.w3.org/1998/Math/MathML" alttext="{\displaystyle M_{i},M_{i+1}}">

<msub>

</mrow>

</msub>

<msub>

</mrow>

</msub>

</mstyle>

</mrow>

<annotation encoding="application/x-tex">{\displaystyle M_{i},M_{i+1}}</annotation>

</semantics>

</math><img src="./_assets_/eb734a37dd21ce173a46342d1cc64c92/ff8e7888b8d1f92e23bafbedde464d4b61e1ee79.svg" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.671ex; width:9.242ex; height:2.509ex;" alt="{\displaystyle M_{i},M_{i+1}}" loading="lazy"> und <math xmlns="http://www.w3.org/1998/Math/MathML" alttext="{\displaystyle M'_{i},M'_{i+1}}">

</mrow>

</msubsup>

</mrow>

</msubsup>

</mstyle>

</mrow>

<annotation encoding="application/x-tex">{\displaystyle M'_{i},M'_{i+1}}</annotation>

</semantics>

</math><img src="./_assets_/eb734a37dd21ce173a46342d1cc64c92/b2b7b841f6b2a2fb163facce4c4ee34a6cb58e22.svg" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -1.171ex; width:9.372ex; height:3.009ex;" alt="{\displaystyle M'_{i},M'_{i+1}}" loading="lazy">, die sich unterscheiden, aber dennoch denselben Hashwert ergeben. Aufgrund der Merkle-Damgård-Konstruktion kann optional an beide Nachrichten ein identischer Suffix angehängt werden, wobei beide Nachrichten weiterhin einen identischen Hashwert ergeben: <math xmlns="http://www.w3.org/1998/Math/MathML" alttext="{\displaystyle M_{i+2},...,M_{i+n}}">

<msub>

</mrow>

</msub>

<msub>

</mrow>

</msub>

</mstyle>

</mrow>

<annotation encoding="application/x-tex">{\displaystyle M_{i+2},...,M_{i+n}}</annotation>

</semantics>

</math><img src="./_assets_/eb734a37dd21ce173a46342d1cc64c92/6c1454890dc1e10d8bd1408db72219f4654a2ed6.svg" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.671ex; width:15.642ex; height:2.509ex;" alt="{\displaystyle M_{i+2},...,M_{i+n}}" loading="lazy">.<a href="#cite_note-8">[8]</a> Der Rechenaufwand zur Erzeugung des ersten Angriffsblocks dauerte auf einem <a href="IBM_Power" class="mw-redirect" title="IBM Power">IBM p690</a> Hochleistungsrechner etwa eine Stunde, die des zweiten Angriffsblocks bis zu fünf Minuten. Der Angriff setzt voraus, dass zwei 512-Bit-Nachrichtenblöcke (insgesamt 128 Bytes) in die Nachricht eingefügt werden, die abhängig vom Nachrichtenpräfix präpariert werden. Da die Angriffsblöcke nicht frei gewählt werden können, schränkt dies je nach Anwendungsszenario die Praktikabilität des Angriffs ein.

Kurz nach der Veröffentlichung von Wang wurde das <a href="Volunteer-Computing" title="Volunteer-Computing">Volunteer-Computing-Projekt</a> MD5CRK eingestellt, das versuchte, eine Kollision per <a href="Brute-Force-Methode" title="Brute-Force-Methode">Brute-Force-Methode</a> zu finden. Die Angriffsmethode wurde von Wang und anderen Forschergruppen verbessert, sodass ein PC heute innerhalb von Sekunden eine MD5-Kollision berechnen kann.

Der Aufwand zum Finden einer Kollision ist größer, wenn der Anfang der beiden Nachrichten abweicht (Chosen-Prefix-Kollision). 2008 gelang es einer Gruppe um Marc Stevens und Alexander Sotirov einen solchen Kollisionsangriff durchzuführen, um ein gefälschtes <a href="Digitales_Zertifikat" title="Digitales Zertifikat">CA-Zertifikat</a> zu erzeugen, das von gängigen Webbrowsern als vertrauenswürdige <a href="Zertifizierungsstelle_(Digitale_Zertifikate)" title="Zertifizierungsstelle (Digitale Zertifikate)">Zertifizierungsstelle</a> anerkannt wurde. Mit diesem waren sie prinzipiell in der Lage, für jede beliebige URL ein <a href="Transport_Layer_Security" title="Transport Layer Security">SSL</a>-Zertifikat zu fälschen und damit die Sicherheitsmechanismen von <a href="Hypertext_Transfer_Protocol_Secure" title="Hypertext Transfer Protocol Secure">HTTPS</a> auszuhebeln. Die Arbeit wurde erstmals auf dem 25. <a href="Chaos_Communication_Congress" title="Chaos Communication Congress">Chaos Communication Congress</a> vorgestellt<a href="#cite_note-talk25c3sslHarmful-9">[9]</a> und einige Monate später in einem wissenschaftlichen Artikel veröffentlicht.<a href="#cite_note-sslHarmful-10">[10]</a> Zur Kollisionsberechnung benutzten sie einen Cluster von 200 <a href="PlayStation_3" title="PlayStation 3">Sony PlayStation 3</a>.

Die 2012 entdeckte Windows-Malware <a href="Flame_(Computerwurm)" title="Flame (Computerwurm)">Flame</a> verwendete ein gefälschtes Code-Signing-Zertifikat, das auf einer neuen und bis dahin unbekannten Variante einer Chosen-Prefix-Kollision für MD5 basierte.<a href="#cite_note-11">[11]</a>

<div class="mw-heading mw-heading3"><h3 id="Password-Hashing">Password-Hashing</h3></div>

Ein Einsatzzweck von MD5 und anderen kryptographischen Hashfunktionen ist die <a href="Schl%C3%BCsselableitung" title="Schlüsselableitung">Schlüsselableitung</a> aus einem geheimen <a href="Passwort" title="Passwort">Passwort</a>. Wenn die Hashwerte dem Angreifer bekannt sind, können sie per <a href="Brute-Force-Methode" title="Brute-Force-Methode">Brute-Force-Methode</a> oder <a href="W%C3%B6rterbuchangriff" title="Wörterbuchangriff">Wörterbuchangriff</a> zum Klartext zurückgerechnet werden. Der Angriff besteht darin, zu möglichst vielen Passwortkandidaten den dazugehörigen Hashwert zu berechnen und ihn auf Gleichheit mit dem gesuchten Passwort-Hashwert zu vergleichen. Dabei handelt es sich um einen naiven Preimage-Angriff, dessen Erfolg davon abhängt, ob das Passwort erraten werden kann und wie viele Hashwerte der Angreifer in einer gegebenen Zeit berechnen kann.

Die Brute-Force-Methode ist bei MD5 durch den Einsatz von <a href="General_Purpose_Computation_on_Graphics_Processing_Unit" title="General Purpose Computation on Graphics Processing Unit">GPGPU</a> besonders effizient, da sich der MD5-Algorithmus auf <a href="Grafikprozessor" title="Grafikprozessor">Grafikprozessoren</a> gut parallelisieren und effizient berechnen lässt. Aus diesem Grund eignen sich spezialisierte Hashfunktionen wie zum Beispiel <a href="Bcrypt" title="Bcrypt">bcrypt</a> oder <a href="PBKDF2" title="PBKDF2">PBKDF2</a> besser zum sicheren Speichern von Passwort-Hashwerten.

Eine Maßnahme zur Erhöhung der Effizienz eines Brute-Force-Angriffs ist es, mehrere Passwort-Hashwerte gleichzeitig anzugreifen. Hierbei muss die Hashwert-Berechnung nur einmal erfolgen, kann aber gegen eine Liste von Hashwerten erfolgen. Diese Effizienzsteigerung kann durch die Verwendung eines <a href="Salt_(Kryptologie)" title="Salt (Kryptologie)">Salt</a> abgewehrt werden. Ein Salt ist eine zufällige <a href="Zeichenkette" title="Zeichenkette">Zeichenkette</a>, die bei der Hashwert-Berechnung an das Passwort angefügt wird und die mit dem Passwort-Hashwert unverschlüsselt gespeichert wird. Idealerweise verwendet jedes Passwort ein einmaliges Salt, da der Angreifer dann keinen Mehrfachvergleich gegen eine Liste von Passwort-Hashes durchführen kann, sondern für jede Vergleichsoperation die Hashfunktion mit dem jeweils einmaligen Salt neu berechnen muss.

Eine andere Angriffsmethode stellen <a href="Rainbow_Table" title="Rainbow Table">Regenbogentabellen</a> dar. In diesen Tabellen sind Zeichenketten mit den zugehörigen Hashwerten gespeichert. Es handelt sich dabei um einen Kompromiss des Angreifers zwischen dem Rechenaufwand und Speicherbedarf (<a href="Time-Memory_Tradeoff" title="Time-Memory Tradeoff">Time-Memory Tradeoff</a>). Gegenüber einem Brute-Force-Angriff spart die Verwendung von Regenbogentabellen teilweise Rechenaufwand, benötigt jedoch viel Speicherplatz zum Durchsuchen der vorberechneten und gespeicherten Tabellen. Für die Erstellung der Regenbogentabellen ist ein hoher Rechenaufwand erforderlich, jedoch nur einmalig, wenn die Tabellen für mehrere Angriffe wiederverwendet werden. Auch hier kann durch die Verwendung eines Salt die Angriffsmethode abgewehrt werden. Der Angreifer müsste für jeden zufälligen Salt eine eigene Regenbogentabelle vorberechnen, wodurch die <a href="Wiederverwendbarkeit" title="Wiederverwendbarkeit">Wiederverwendbarkeit</a> und damit das Einsparpotential der Regenbogentabelle nicht mehr gegeben ist.

<div class="mw-heading mw-heading2"><h2 id="Literatur">Literatur</h2></div>

<ul><li>Hans Dobbertin: Cryptanalysis of MD5 compress. Announcement on Internet, Mai 1996 (englisch) <a rel="nofollow" class="external text" href="http://citeseer.ist.psu.edu/dobbertin96cryptanalysis.html">citeseer.ist.psu.edu</a></li>

<li>Hans Dobbertin: The Status of MD5 After a Recent Attack. In: CryptoBytes, 1996, 2(2) (englisch).</li>

<li>Philip Hawkes, Michael Paddon, Gregory G. Rose: Musings on the Wang et al. MD5 Collision. Detaillierte Analyse der differentiellen Attacke auf den MD5 (englisch)</li>

<li>Vlastimil Klima: Finding MD5 Collisions on a Notebook PC using multi-message modifications. Nochmals verbesserte Angriffstechnik (englisch)</li></ul>

<div class="mw-heading mw-heading2"><h2 id="Weblinks">Weblinks</h2></div>

<ul><li>R. Rivest: <a href="Request_for_Comments" title="Request for Comments">RFC</a>: <style data-mw-deduplicate="TemplateStyles:r250917974">

/* start https://de.wikipedia.org/ */

.mw-parser-output .dewiki-iconexternal>a{background-position:center right!important;background-repeat:no-repeat!important}body.skin-minerva .mw-parser-output .dewiki-iconexternal>a{background-image:url("./_mw_/OOjs_UI_icon_external-link-ltr-progressive.svg")!important;background-size:10px!important;padding-right:13px!important}body.skin-timeless .mw-parser-output .dewiki-iconexternal>a,body.skin-monobook .mw-parser-output .dewiki-iconexternal>a{background-image:url("./_mw_/MediaWiki_external_link_icon.svg")!important;padding-right:13px!important}body.skin-vector .mw-parser-output .dewiki-iconexternal>a{background-image:url("./_mw_/Link.ernal-small-ltr-progressive.svg")!important;background-size:0.857em!important;padding-right:1em!important}

/* end https://de.wikipedia.org/ */

</style><a href="https://datatracker.ietf.org/doc/html/rfc1321" class="extiw external" title="rfc:1321">1321</a> – The MD5 Message-Digest Algorithm. April 1992 (englisch).</li>

<li><a rel="nofollow" class="external text" href="http://www.mathstat.dal.ca/~selinger/md5collision/">MD5 Collision Demo.</a> mathstat.dal.ca/~selinger – Zwei unterschiedliche Programme mit gleichem MD5-Hash und einer Bibliothek zur Generierung weiterer solcher Programme (englisch)</li>

<li><a rel="nofollow" class="external text" href="http://cryptography.hyperlink.cz/MD5_collisions.html">papers und Demos zu MD5-Kollisionen.</a> cryptography.hyperlink.cz (englisch)</li>

<li>Jürgen Schmidt: <a rel="nofollow" class="external text" href="https://www.heise.de/security/artikel/Konsequenzen-der-erfolgreichen-Angriffe-auf-MD5-270106.html">Hash mich, die zweite.</a></li>

<li><a rel="nofollow" class="external text" href="http://de.toolpage.org/tool/md5">Online-Generator zum Erzeugen von MD5-Hashe.</a> de.toolpage.org</li></ul>

<div class="mw-heading mw-heading2"><h2 id="Einzelnachweise">Einzelnachweise</h2></div>

<li id="cite_note-1"><a href="#cite_ref-1">↑</a> <a rel="nofollow" class="external text" href="https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.utility/get-filehash?view=powershell-4.0">Beschreibung des Powershell Cmdlet Get-Filehash.</a>

</li>

R. Rivest: <a href="Request_for_Comments" title="Request for Comments">RFC</a>: <a href="https://datatracker.ietf.org/doc/html/rfc1321" class="extiw external" title="rfc:1321">1321</a> – The MD5 Message-Digest Algorithm. April 1992 (englisch).

</li>

<li id="cite_note-RFC6151-3"><a href="#cite_ref-RFC6151_3-0">↑</a> Sean Turner, Lily Chen: <a href="Request_for_Comments" title="Request for Comments">RFC</a>: <a href="https://datatracker.ietf.org/doc/html/rfc6151" class="extiw external" title="rfc:6151">6151</a> – Updated Security Considerations for the MD5 Message-Digest and the HMAC-MD5 Algorithms. März 2011 (englisch).

</li>

<li id="cite_note-4"><a href="#cite_ref-4">↑</a> <a rel="nofollow" class="external text" href="https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeRichtlinien/TR02102/BSI-TR-02102.pdf?__blob=publicationFile&v=8">Kryptographische Verfahren: Empfehlungen und Schlüssellängen.</a> (PDF) BSI TR-02102-1. Bundesamt für Sicherheit in der Informationstechnik, 9. Januar 2023, abgerufen am 4. Februar 2023.<span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3AMessage-Digest+Algorithm+5&rft.title=Kryptographische+Verfahren%3A+Empfehlungen+und+Schl%C3%BCssell%C3%A4ngen&rft.description=Kryptographische+Verfahren%3A+Empfehlungen+und+Schl%C3%BCssell%C3%A4ngen&rft.identifier=https%3A%2F%2Fwww.bsi.bund.de%2FSharedDocs%2FDownloads%2FDE%2FBSI%2FPublikationen%2FTechnischeRichtlinien%2FTR02102%2FBSI-TR-02102.pdf%3F__blob%3DpublicationFile%26v%3D8&rft.publisher=Bundesamt+f%C3%BCr+Sicherheit+in+der+Informationstechnik&rft.date=2023-01-09">

</li>

<li id="cite_note-5"><a href="#cite_ref-5">↑</a> Yu Sasaki, Kazumaro Aoki: <cite style="font-style:italic">Finding Preimages in Full MD5 Faster Than Exhaustive Search</cite>. In: Antoine Joux (Hrsg.): <cite style="font-style:italic">Advances in Cryptology – EUROCRYPT 2009</cite>. <a href="Digital_Object_Identifier" title="Digital Object Identifier">doi</a>:<a rel="nofollow" class="external text" href="https://doi.org/10.1007/978-3-642-01001-9_8">10.1007/978-3-642-01001-9_8</a>.<span class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Abook&rfr_id=info:sid/de.wikipedia.org:Message-Digest+Algorithm+5&rft.atitle=Finding+Preimages+in+Full+MD5+Faster+Than+Exhaustive+Search&rft.au=Yu+Sasaki%2C+Kazumaro+Aoki&rft.btitle=Advances+in+Cryptology+-+EUROCRYPT+2009&rft.doi=10.1007%2F978-3-642-01001-9_8&rft.genre=book" style="display:none">

</li>

<li id="cite_note-6"><a href="#cite_ref-6">↑</a> Bert de Boer, Antoon Bosselaers: <cite style="font-style:italic">Collisions for the compression function of MD5</cite>. In: Tor Helleseth (Hrsg.): <cite style="font-style:italic">Proceedings of EUROCRYPT ’93</cite>. Springer-Verlag, New York 1994, ISBN 3-540-57600-2, <a href="Digital_Object_Identifier" title="Digital Object Identifier">doi</a>:<a rel="nofollow" class="external text" href="https://doi.org/10.1007/3-540-48285-7_26">10.1007/3-540-48285-7_26</a>.<span class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Abook&rfr_id=info:sid/de.wikipedia.org:Message-Digest+Algorithm+5&rft.atitle=Collisions+for+the+compression+function+of+MD5&rft.au=Bert+de+Boer%2C+Antoon+Bosselaers&rft.btitle=Proceedings+of+EUROCRYPT+%E2%80%9993&rft.date=1994&rft.doi=10.1007%2F3-540-48285-7_26&rft.genre=book&rft.isbn=3540576002&rft.place=New+York&rft.pub=Springer-Verlag" style="display:none">

</li>

<li id="cite_note-7"><a href="#cite_ref-7">↑</a> Xiaoyun Wang, Dengguo Feng, Xuejia Lai, Hongbo Yu: <a rel="nofollow" class="external text" href="http://eprint.iacr.org/2004/199.pdf">Collisions for Hash Functions MD4, MD5, HAVAL-128 and RIPEMD.</a> (PDF; 57 kB) Abgerufen am 4. Februar 2023.<span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3AMessage-Digest+Algorithm+5&rft.title=Collisions+for+Hash+Functions+MD4%2C+MD5%2C+HAVAL-128+and+RIPEMD&rft.description=Collisions+for+Hash+Functions+MD4%2C+MD5%2C+HAVAL-128+and+RIPEMD&rft.identifier=http%3A%2F%2Feprint.iacr.org%2F2004%2F199.pdf&rft.creator=Xiaoyun+Wang%2C+Dengguo+Feng%2C+Xuejia+Lai%2C+Hongbo+Yu">

</li>

<li id="cite_note-8"><a href="#cite_ref-8">↑</a> <a rel="nofollow" class="external text" href="http://www.mscs.dal.ca/~selinger/md5collision/">Erläuterung zum Kollisionsproblem bei Manipulation von md5-Hashwerten</a>

</li>

<li id="cite_note-talk25c3sslHarmful-9"><a href="#cite_ref-talk25c3sslHarmful_9-0">↑</a> 25c3 Talk: David Molnar, Marc Stevens, Arjen Lenstra, Benne de Weger, Alexander Sotirov, Jacob Appelbaum, Dag Arne Osvik: <a rel="nofollow" class="external text" href="https://media.ccc.de/v/25c3-3023-en-making_the_theoretical_possible">MD5 considered harmful today.</a> 30. Dezember 2008, abgerufen am 19. Juli 2025.<span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3AMessage-Digest+Algorithm+5&rft.title=MD5+considered+harmful+today&rft.description=MD5+considered+harmful+today&rft.identifier=https%3A%2F%2Fmedia.ccc.de%2Fv%2F25c3-3023-en-making_the_theoretical_possible&rft.creator=25c3+Talk%3A+David+Molnar%2C+Marc+Stevens%2C+Arjen+Lenstra%2C+Benne+de+Weger%2C+Alexander+Sotirov%2C+Jacob+Appelbaum%2C+Dag+Arne+Osvik&rft.date=2008-12-30">

</li>

<li id="cite_note-sslHarmful-10"><a href="#cite_ref-sslHarmful_10-0">↑</a> Alexander Sotirov, Marc Stevens, Jacob Appelbaum, Arjen Lenstra, David Molnar, Dag Arne Osvik, Benne de Weger: <a rel="nofollow" class="external text" href="http://www.win.tue.nl/hashclash/rogue-ca/">MD5 considered harmful today.</a> 30. Dezember 2008, abgerufen am 30. Dezember 2008.<span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3AMessage-Digest+Algorithm+5&rft.title=MD5+considered+harmful+today&rft.description=MD5+considered+harmful+today&rft.identifier=http%3A%2F%2Fwww.win.tue.nl%2Fhashclash%2Frogue-ca%2F&rft.creator=Alexander+Sotirov%2C+Marc+Stevens%2C+Jacob+Appelbaum%2C+Arjen+Lenstra%2C+David+Molnar%2C+Dag+Arne+Osvik%2C+Benne+de+Weger&rft.date=2008-12-30">

</li>

<li id="cite_note-11"><a href="#cite_ref-11">↑</a> Marc Stevens: <a rel="nofollow" class="external text" href="http://www.cwi.nl/news/2012/cwi-cryptanalist-discovers-new-cryptographic-attack-variant-in-flame-spy-malware">Technical Background Of The Flame Collision Attack.</a> CWI, 7. Juni 2012, abgerufen am 8. Juni 2012 (englisch).<span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3AMessage-Digest+Algorithm+5&rft.title=Technical+Background+Of+The+Flame+Collision+Attack&rft.description=Technical+Background+Of+The+Flame+Collision+Attack&rft.identifier=http%3A%2F%2Fwww.cwi.nl%2Fnews%2F2012%2Fcwi-cryptanalist-discovers-new-cryptographic-attack-variant-in-flame-spy-malware&rft.creator=Marc+Stevens&rft.publisher=CWI&rft.date=2012-06-07&rft.language=en">  “the results have shown that not our published chosen-prefix collision attack was used, but an entirely new and unknown variant”

</li>

</ol></div><div><div class="zim-footer">

Dieser Artikel wurde von <a class="external text" title="Zuletzt bearbeitet am 2025-07-19" href="https://de.wikipedia.org/wiki/?title=Message-Digest_Algorithm_5&oldid=258051173">Wikipedia</a> herausgegeben. Der Text ist unter <a class="external text" href="https://creativecommons.org/licenses/by-sa/4.0/deed.de">Creative Commons Attribution-Share Alike 4.0</a> verfügbar, sofern nicht anders angegeben. Für die Mediendateien können zusätzliche Bedingungen gelten.

</div>

</div></div>

</div>

</main>

</div>

</body></html>