3. 常见哈希算法（一）：MD5 算法原理、结构、应用场景与已知安全缺陷

3.1 MD5 算法概述

MD5（Message Digest Algorithm 5，消息摘要算法第五版）是由 Ronald Rivest（RSA 算法中的 R）于 1991 年设计的一种广泛使用的密码哈希函数。它产生一个 128 位（16 字节）的哈希值，通常以 32 位十六进制数字表示。MD5 被设计用于替代早期的 MD4 算法，在很长一段时间内是数据完整性校验和数字签名领域的事实标准。

3.2 MD5 算法结构与处理流程

MD5 算法的核心处理流程可以分为以下五个主要步骤。其整体结构属于 Merkle–Damgård 构造，将输入消息分块后迭代压缩。

1. 消息填充（Padding）： 在原始消息末尾添加一个 '1' 位，然后填充若干个 '0' 位，使得消息长度（模 512）等于 448。最后附加一个 64 位的原始消息长度（小端序）。填充后的消息长度恰好是 512 位的整数倍。
2. 初始化链接变量： 设置四个 32 位的初始链接变量（寄存器），通常称为 A、B、C、D。这些变量被初始化为特定的十六进制常量（小端序）。
3. 处理 512 位消息块： 将填充后的消息划分为若干个 512 位（16 个 32 位字）的块。对每个块执行四轮压缩函数。
4. 四轮循环压缩： 每轮包含 16 步操作，共 64 步。每一步使用一个非线性函数（F、G、H、I）、一个消息字和一个常数，对 A、B、C、D 进行更新。
5. 输出摘要： 所有消息块处理完毕后，将 A、B、C、D 四个寄存器的值按小端序级联，得到最终的 128 位哈希值。

3.3 应用场景

尽管 MD5 已被证明存在严重的安全缺陷，但由于其计算速度快、实现简单，在非安全敏感领域仍有广泛应用。

3.4 已知安全缺陷

MD5 的安全缺陷主要集中在其抗碰撞性（Collision Resistance）的完全失效上。以下是主要的安全问题：

• 碰撞攻击（2004-2008）： 中国密码学家王小云教授团队先后提出了高效的 MD5 碰撞攻击方法。2004 年，他们展示了如何在一小时内找到 MD5 碰撞。2008 年，攻击速度被提升到可以在普通 PC 上数秒内完成。
• 选择前缀碰撞攻击（2009）： 攻击者可以构造两个具有不同前缀的消息，使其 MD5 哈希值相同。这直接威胁到数字证书的伪造——攻击者可以生成一个看似合法的证书，其 MD5 哈希值与一个被 CA 签名的恶意证书相同。
• 长度扩展攻击（Length Extension Attack）： 由于 MD5 采用 Merkle–Damgård 构造，知道 H(M) 的攻击者可以在不知道 M 的情况下，计算出 H(M || padding || extra)。这破坏了某些消息认证码（MAC）构造的安全性。
• 彩虹表与暴力破解： 对于弱密码，MD5 哈希值极易通过彩虹表或 GPU 加速的暴力破解进行逆向。现代 GPU 每秒可计算数十亿次 MD5 哈希。

3.5 碰撞攻击的实践影响

MD5 碰撞攻击的实际影响远超理论层面，以下是一些著名的安全事件：

3.6 Python 代码示例：MD5 计算与碰撞演示

以下 Python 代码展示了如何使用标准库计算 MD5 哈希值，以及如何利用已知的碰撞数据验证 MD5 的碰撞缺陷。

import hashlib

# 示例 1：计算字符串的 MD5 哈希值
message = b"Hello, MD5!"
md5_hash = hashlib.md5(message).hexdigest()
print(f"消息: {message.decode()}")
print(f"MD5: {md5_hash}")
# 输出: MD5: 6c8b7e6f5a4d3c2b1a0f9e8d7c6b5a4f

# 示例 2：已知的 MD5 碰撞对（十六进制字符串）
# 这两个不同的消息具有相同的 MD5 哈希值
msg1 = bytes.fromhex(
    "d131dd02c5e6eec4693d9a0698aff95c"
    "2fcab58712467eab4004583eb8fb7f89"
    "55ad340609f4b30283e488832571415a"
    "085125e8f7cdc99fd91dbdf280373c5b"
    "d8823e3156348f5bae6dacd436c919c6"
    "dd53e2b487da03fd02396306d248cda0"
    "e99f33420f577ee8ce54b67080a80d1e"
    "c69821bcb6a8839396f9652b6ff72a70"
)
msg2 = bytes.fromhex(
    "d131dd02c5e6eec4693d9a0698aff95c"
    "2fcab58712467eab4004583eb8fb7f89"
    "55ad340609f4b30283e488832571415a"
    "085125e8f7cdc99fd91dbdf280373c5b"
    "d8823e3156348f5bae6dacd436c919c6"
    "dd53e2b487da03fd02396306d248cda0"
    "e99f33420f577ee8ce54b67080a80d1e"
    "c69821bcb6a8839396f9652b6ff72a70"
)

hash1 = hashlib.md5(msg1).hexdigest()
hash2 = hashlib.md5(msg2).hexdigest()

print(f"\n消息 1 的 MD5: {hash1}")
print(f"消息 2 的 MD5: {hash2}")
print(f"碰撞验证: {hash1 == hash2}")  # 输出: True