MD5加密

Posted 2020-09-22 公子扶胸

1、MD5（单向散列算法）的全称是Message-Digest Algorithm 5（信息-摘要算法），经MD2、MD3和MD4发展而来。
2、 MD5功能：
    输入任意长度的信息，经过处理，输出为128位的信息（数字指纹）；
    不同的输入得到的不同的结果（唯一性）；
    根据128位的输出结果不可能反推出输入的信息（不可逆）； 
3、 MD5用途：
     1、防止被篡改：
 2、防止直接看到明文：
 3、防止抵赖（数字签名）：
4、MD5算法过程：
    对MD5算法简要的叙述可以为：MD5以512位分组来处理输入的信息，且每一分组又被划分为16个32位子分组，经过了一系列的处理后，算法的输出由四个32位分组组成，将这四个32位分组级联后将生成一个128位散列值。

     第一步、填充：如果输入信息的长度(bit)对512求余的结果不等于448，就需要填充使得对512求余的结果等于448。填充的方法是填充一个1和n个0。填充完后，信息的长度就为N*512+448(bit)；

     第二步、记录信息长度：用64位来存储填充前信息长度。这64位加在第一步结果的后面，这样信息长度就变为N*512+448+64=(N+1)*512位。

     第三步、装入标准的幻数（四个整数）：标准的幻数（物理顺序）是（A=(01234567)16，B=(89ABCDEF)16，C=(FEDCBA98)16，D=(76543210)16）。如果在程序中定义应该是（A=0X67452301L，B=0XEFCDAB89L，C=0X98BADCFEL，D=0X10325476L）。有点晕哈，其实想一想就明白了。

     第四步、四轮循环运算：循环的次数是分组的个数（N+1） 
5、MD5安全性：
    普遍认为MD5是很安全，因为暴力破解的时间是一般人无法接受的。实际上如果把用户的密码MD5处理后再存储到数据库，其实是很不安全的。因为用户的密码是比较短的，而且很多用户的密码都使用生日，手机号码，身份证号码，电话号码等等。或者使用常用的一些吉利的数字，或者某个英文单词。如果我把常用的密码先MD5处理，把数据存储起来，然后再跟你的MD5结果匹配，这时我就有可能得到明文。
从安全的角度讲，MD5的输出为128位，若采用纯强力攻击寻找一个消息具有给定Hash值的计算困难性为2128，用每秒可试验1000000000个消息的计算机需时1.07×1022年。若采用生日攻击法，寻找有相同Hash值的两个消息需要试验264个消息，用每秒可试验1000000000个消息的计算机需时585年。
6、基于md5算法的改进加密方法
本文提到的方法是在使用md5加密算法对明文（口令）加密的基础上，对密文进行了改变，在密文中截取一段数据并丢弃，然后使用随机函数填充被丢弃的数据，且整个过程不改变md5加密后的位数。其加密过程用算法描述如下：
（1）对明文password进行md5加密，获得密文md5（password）。
（2）使用截取函数截取加密后的密文，从第beginnumber位置开始截取number位数值，得到密码A，其中A=left(md5（password）,beginnumber-1)。
（3）使用截取函数截取加密后的明文的number位数后的值B，其中 B=right(md5（password），md5-digit -(beginnumber+number-1))。
（4）使用随机函数gen_key（number）填充被截取的number的值。
（5）变换后的密码值为encrypt_password =A&get_key(number)&B
变量说明：
password：客户端提交的原始密码
encrypt_password：经过处理后的密码
beginnumber：对原始密码开始截取的位置（0number：对密码截取位数（0md5-digit：md5取16位或者32位值

解密过程跟加密过程有些类似，先对输入的明文进行加密，接着从beginnumber处截取前半部分得到A′，后半部分得到B′，然后从数据库中读出密码中的A和B部分，最后如果A=A′并且B=B′，则认为用户输入的密码跟数据库中的密码是匹配的。
7、讨论与结束语
有人也曾经提出对md5加密算法中的函数或者变量进行修改，从而加强在使用原md5算法的安全，但是这种方法修改了md5原函数或者变量后，无法验证修改后md5算法在强度上是否跟原算法一致。本文提出的方法是在原有md5加密的基础上，通过对密文截取一定位数的字符串，并使用随机数进行填充，最后得到的密文虽然是经过md5加密，但是其值已经大不一样，因此通过md5常规破解方法是永远也不能破解其原始密码值，从而保证了数据的安全。虽然目前有很多攻击方法，诸如SQL注入、跨站攻击等，可以较容易的获取数据库中的值，通过本方法进行加密，在网站或者系统代码泄露前，其数据是相对安全的，因此具有一定参考加值。