Datei-MD5-Verifizierungstool

MD5 (Message-Digest Algorithm 5) ist ein weit verbreiteter Hash-Algorithmus, der beliebigen Dateiinhalt auf einen 128-Bit-Digest fester Länge (32 Hexadezimalzeichen) abbildet. Kleinste Änderungen im Dateiinhalt führen zu völlig anderen MD5-Werten. Das Datei-MD5-Verifizierungswerkzeug wird häufig zur Überprüfung der Dateiintegrität eingesetzt, um sicherzustellen, dass Dateien während der Übertragung oder beim Download nicht manipuliert oder beschädigt wurden. Datei-MD5 wird häufig genutzt, um schnell zu prüfen, ob eine Datei unverändert geblieben ist oder mit einer veröffentlichten Prüfsumme übereinstimmt. Der Algorithmus ist sehr verbreitet und schnell, gilt aber wegen bekannter Kollisionsangriffe nicht mehr als sicher für kryptografische Vertrauensentscheidungen. Für Download-Checks alter Software oder einfache Duplikaterkennung kann MD5 noch vorkommen; bei sicherheitsrelevanter Integritätsprüfung sind SHA-256 oder stärkere Verfahren vorzuziehen.

MD5 ist der in RFC 1321 (Ron Rivest, 1992) definierte Message-Digest Algorithm 5. Er erzeugt einen 128-Bit / 16-Byte-Digest, dargestellt als 32 hexadezimale Zeichen. Der Algorithmus folgt der Merkle-Damgård-Konstruktion: Die Eingabe wird so gepaddet, dass ihre Bitlänge kongruent zu 448 mod 512 ist (ein 1-Bit gefolgt von Nullen), die ursprüngliche Länge wird als 64-Bit-Little-Endian-Integer angehängt und die gepaddete Nachricht wird in 512-Bit-Blöcke geteilt. Jeder Block aktualisiert einen 128-Bit-internen Zustand (A, B, C, D), initialisiert auf A = 0x67452301, B = 0xEFCDAB89, C = 0x98BADCFE, D = 0x10325476, indem 64 Runden in vier Gruppen zu je 16 ausgeführt werden, die die bitweisen Funktionen F(x,y,z) = (x AND y) OR ((NOT x) AND z), G(x,y,z) = (x AND z) OR (y AND (NOT z)), H(x,y,z) = x XOR y XOR z und I(x,y,z) = y XOR (x OR (NOT z)) anwenden, jeweils kombiniert mit der Rundenkonstante T[i] = floor(2^32 * abs(sin(i+1))) und einer Linksrotation. Der Endzustand, in Little-Endian konkateniert, ist der Digest. Der MD5 der leeren Eingabe ist d41d8cd98f00b204e9800998ecf8427e und dient als praktische Sanity-Check-Vergleichsgröße. Browser stellen MD5 nicht über crypto.subtle bereit (die W3C-Web-Crypto-Spezifikation lässt MD5 wegen Kollisionsangriffen bewusst weg), daher verwendet dieses Tool eine reine JavaScript-MD5-Implementierung, die vollständig im Browser läuft. Die Datei wird als ArrayBuffer in den Speicher geladen, der 16-Byte-Digest in einem Durchgang berechnet und als 32 kleingeschriebene hexadezimale Zeichen ausgegeben. Da die Arbeit auf dem Main-Thread läuft, blockiert das Hashen einer mehrere Gigabyte großen Datei diesen Thread, bis der Digest fertig ist; bei sehr großen Dateien ist ein Desktop-Tool besser, das Bytes von der Festplatte streamt. MD5 ist hinsichtlich Kollisionsresistenz kryptographisch gebrochen. Wang Xiaoyun und Yu Hongbo veröffentlichten 2004 (CRYPTO 2005) den ersten praktischen Kollisionsangriff und drückten die Kollisionskosten auf etwa 2^39 Operationen. 2008 nutzten Sotirov et al. Chosen-Prefix-Kollisionen, um ein bösartiges Zwischen-CA-Zertifikat zu fälschen, und 2012 verwendete die Staatstrojaner-Malware Flame eine bis dahin unbekannte Chosen-Prefix-MD5-Kollision, um ein Code-Signing-Zertifikat von Microsoft Terminal Server Licensing zu fälschen. NIST verbot MD5 in SP 800-131A im Jahr 2011 für digitale Signaturen; das CMU CERT veröffentlichte den Vulnerability Note VU#836068 und nannte MD5 'unsuitable for further use'. MD5 ist weiterhin akzeptabel, um zufällige Beschädigung zu erkennen (ein gekipptes Bit kippt ~64 der 128 Ausgangsbits durch den Lawineneffekt) und Duplikate auf vertrauenswürdigen Eingaben zu finden, darf aber dort nicht eingesetzt werden, wo ein Angreifer eine der Eingaben kontrolliert oder vorhersagen kann.

• MD5 erzeugt einen 128-Bit / 16-Byte Digest, kodiert als 32 Kleinbuchstaben-Hexadezimalzeichen; spezifiziert in RFC 1321 (Rivest, 1992).
• Anfangszustands-Konstanten A = 0x67452301, B = 0xEFCDAB89, C = 0x98BADCFE, D = 0x10325476; 64 Runden in vier Gruppen à 16 mit den bitweisen F/G/H/I-Funktionen und rundenspezifischen Konstanten T[i] = floor(2^32 * |sin(i+1)|).
• MD5 der leeren Eingabe ist d41d8cd98f00b204e9800998ecf8427e – ein schneller Sanity-Check, dass die Hashing-Pipeline einen gültigen Digest zurückgibt.
• Browser stellen MD5 nicht über crypto.subtle bereit (W3C Web Crypto lässt es absichtlich weg); dieses Tool verwendet eine reine JavaScript-MD5-Implementierung, die die Datei als ArrayBuffer lädt, den 16-Byte-Digest in einem Durchgang berechnet und als 32 kleingeschriebene Hex-Zeichen ausgibt.
• Speichernutzung: Der gesamte Dateiinhalt wird zunächst in einen einzigen ArrayBuffer eingelesen und dann gehasht; mehrere Gigabyte große Dateien benötigen entsprechend viel Tab-Speicher. Für Dateien, die der Tab nicht halten kann, nutze ein Desktop-Tool (md5sum, certutil -hashfile, Get-FileHash), das von der Festplatte streamt.
• Kollisionsangriffe: Wang und Yu (2004) ca. 2^39 Operationen; Sotirov et al. (2008) gewählte-Präfix-Kollision zum Fälschen eines Rogue-CA-Zertifikats verwendet; Flame-Malware (2012) nutzte eine gewählte-Präfix-Kollision zum Fälschen eines Microsoft-Code-Signing-Zertifikats.
• NIST SP 800-131A verbot MD5 für digitale Signaturen im Jahr 2011; MD5 ist nur für nicht-adversarielle Integritätsprüfungen und Duplikaterkennung akzeptabel – zu SHA-256 oder stärker wechseln, sobald die Prüfsumme Vertrauen betrifft.