Bir saat içinde %60'tan fazla şifre, tek bir GeForce RTX 5090 kullanılarak MD5 hash'inden çözülecek.

MD5 şifrelerinin ne kadar hızlı kırılabileceği: Kaspersky Laboratuvarı araştırmasının sonuçları

2024 yılında Kaspersky Laboratuvarı araştırmacıları, karanlık ağdaki sızıntılardan toplanmış 231 milyonun üzerinde çalınmış şifreyi analiz etti. MD5 algoritmasıyla hash'lenmeleri sonucunda şu bulgular ortaya çıktı:

- %60 şifre bir saatten kısa sürede kırılabilir.
- %48'i ise dakikadan daha az sürede kırılabiliyor.

Bunun için sadece tek bir Nvidia GeForce RTX 5090 ekran kartı yeterli.

Neden bu kadar hızlı
1. MD5'in düşük karmaşıklığı
MD5 algoritması uzun zamandır eski sayılıyor; hash'leri modern GPU'lar sayesinde kolayca brute force ile kırılabiliyor.
2. Belirli şifreler için optimizasyon
200+ milyon şifrenin analizi, sık kullanılan kalıplar ve basit kelimeler gibi örüntüler ortaya çıkardı; bu da arama süresini kısaltıyor.
3. Grafik işlemcilerin gücünün artması
İlk araştırmadan bu yana GPU performansı önemli ölçüde yükseldi, ancak şifreler daha zorlaşmadı.

Kullanıcılar için ne anlama geliyor
- Sadece MD5 hash'leriyle korunan şifreler artık güvenli sayılmıyor. Bir sızıntıda elde edilirse saldırgan hızlıca hesaplara erişebilir.
- Profesyonel hackerlar bulut sağlayıcılarından GPU gücü kiralayabilir; bu yüzden ucuz kartlar bile tehdit oluşturuyor.

“SHA'ya geçiş” sorununun daha karmaşık olmasının sebepleri
The Register uzmanları birkaç faktörü işaret ediyor:

1. Yetersiz farkındalık
Kullanıcılar ve kurumlar zayıf şifrelerin riskini pek bilmiyor.
2. Zayıf şifre gereksinimleri
Birçok platformda kurallar hafif, uzunluk, karmaşıklık veya düzenli güncelleme zorunlu değil.
3. Ek koruma önlemlerinin eksikliği
- İki faktörlü kimlik doğrulama (2FA) hâlâ “yeterli” olarak görülüyor; biyometri en güvenilir ikinci faktör olarak kabul ediliyor.
- Sistemler, ilk ihlal sonrası saldırganın yatay hareketini engellemekte yetersiz kalabiliyor.

Ne yapılabilir
- Daha dayanıklı hash'lere (bcrypt, Argon2) geçiş ve tuz kullanımı.
- Katı şifre kuralları uygulama: en az 12 karakter, harf, rakam ve özel karakter karışımı.
- Zorunlu iki faktörlü kimlik doğrulama; tercihen biyometri veya donanım tokenleri ile.
- Düzenli güvenlik denetimleri ve personel eğitimi.

Bu şekilde, basit MD5 şifreleri bile ciddi bir tehdit oluşturuyor. Çok katmanlı koruma stratejileri, modern koşullarda siber saldırı riskini azaltmanın tek yoludur.