ファイル MD5 検証ツール

MD5（Message-Digest Algorithm 5）は広く使用されるハッシュアルゴリズムで、任意のファイル内容を128ビット（32個の16進数文字）の固定長ダイジェストにマッピングします。ファイル内容のわずかな変化でも完全に異なるMD5値になります。ファイルMD5検証ツールは、ファイル整合性の検証に頻繁に使用され、転送やダウンロード中にファイルが改ざんまたは破損していないことを確認します。

MD5 は RFC 1321（Ron Rivest、1992）で定義される Message-Digest Algorithm 5 で、128 ビット / 16 バイトのダイジェストを出力し、32 桁の 16 進数で表示されます。アルゴリズムは Merkle-Damgård 構造に従います：入力をパディングしてビット長を 448 mod 512 にし（1 ビットの 1 の後に 0 を埋める）、元の長さを 64 ビットのリトルエンディアン整数として末尾に追加し、パディングされたメッセージを 512 ビットのブロックに分割します。各ブロックは 128 ビットの内部状態（A、B、C、D）を更新します。初期値は A = 0x67452301、B = 0xEFCDAB89、C = 0x98BADCFE、D = 0x10325476 で、F(x,y,z) = (x AND y) OR ((NOT x) AND z)、G(x,y,z) = (x AND z) OR (y AND (NOT z))、H(x,y,z) = x XOR y XOR z、I(x,y,z) = y XOR (x OR (NOT z)) のビット関数を使い、ラウンド定数 T[i] = floor(2^32 * |sin(i+1)|) と左回転を組み合わせて 4 グループ × 16 ラウンド計 64 ラウンドを実行します。最終状態をリトルエンディアンで連結したものがダイジェストです。空入力の MD5 は d41d8cd98f00b204e9800998ecf8427e で、パイプラインの動作確認に便利です。 ブラウザは crypto.subtle で MD5 を提供しません（W3C Web Crypto 仕様は衝突攻撃を理由に意図的に MD5 を除外しています）。そのため本ツールは純粋 JavaScript の MD5 実装をブラウザ内で実行します。ファイルは ArrayBuffer としてメモリにロードされ、16 バイトのダイジェストを一度に計算し、32 桁の小文字 16 進数として表示します。処理はメインスレッドで動くため、数 GB のファイルをハッシュする間はメインスレッドが占有されます。非常に大きなファイルにはディスクからストリーミングするデスクトップツールを使うほうが適しています。 MD5 は衝突耐性が破られています。王小雲と于紅波は 2004 年（CRYPTO 2005 発表）に最初の実用的衝突攻撃を公表し、衝突コストを約 2^39 回の演算まで下げました。2008 年には Sotirov らが選択前置衝突を用いて不正な中間 CA 証明書を偽造し、2012 年の Flame 国家級マルウェアは未公表の選択前置 MD5 衝突を使って Microsoft Terminal Server Licensing のコード署名証明書を偽造しました。NIST は 2011 年の SP 800-131A でデジタル署名への MD5 の使用を禁止し、CMU CERT は脆弱性通知 VU#836068 で MD5 を「これ以上の使用には不適」と評しました。MD5 は偶発的破損の検出（1 ビット変化で雪崩効果により出力 128 ビットのうち約 64 ビットが反転）や信頼できる入力での重複ファイル検出には依然として使えますが、攻撃者がいずれかの入力を制御または予測できる場面では使ってはいけません。

• MD5は128ビット／16バイトのダイジェストを生成し、32文字の小文字16進数としてエンコードされる。RFC 1321（Rivest、1992年）で規定。
• 初期状態定数：A＝0x67452301、B＝0xEFCDAB89、C＝0x98BADCFE、D＝0x10325476。4グループ×16ラウンドの計64ラウンドで、F/G/H/Iビット関数とラウンド定数T[i]＝floor(2^32×|sin(i＋1)|)を使用。
• 空入力のMD5はd41d8cd98f00b204e9800998ecf8427e。ハッシュパイプラインが有効なダイジェストを返すかの簡易整合性チェック。
• ブラウザは crypto.subtle で MD5 を提供しません（W3C Web Crypto が意図的に省略）。本ツールは純粋 JavaScript 実装の MD5 を用い、ファイルを ArrayBuffer として読み込み、16 バイトのダイジェストを一度に計算し、32 桁の小文字 16 進数として出力します。
• メモリの使い方：ファイル全体を 1 つの ArrayBuffer に読み込んでからハッシュするため、数 GB のファイルにはそれに見合うタブメモリが必要です。タブが扱える上限を超えるファイルではディスクからストリーミングするデスクトップツール（md5sum、certutil -hashfile、Get-FileHash）を使ってください。
• 衝突攻撃：王氏とYu氏（2004年）が約2^39演算で実証。Sotirovら（2008年）が選択プレフィックス衝突で不正なCA証明書を偽造。Flameマルウェア（2012年）が選択プレフィックス衝突でMicrosoftコード署名証明書を偽造。
• NIST SP 800-131Aは2011年にデジタル署名でのMD5使用を禁止。MD5は非敵対的な整合性チェックと重複検出のみに許容され、チェックサムが信頼性に影響する場合はSHA-256以上に切り替えること。