Software-update: MD5CRK 1.0.7

Het MD5CRK-project is een relatief nieuwe speler op het gebied van distributed computing. De bedoeling van dit project is om aan te tonen dat het MD5-algoritme voor beveiligingsdoeleinden ongeschikt is. Het algoritme is ontworpen als een manier om de integriteit van data te controleren. Tegenwoordig wordt het ook gebruikt als authenticatie bij online winkelen, waarbij de MD5-hash in het beveiligingscertificaat zou moeten aantonen dat de website is wie hij beweert te zijn. Het gebruik ervan wordt over het algemeen als veilig beschouwd, aangezien MD5-hashes niet terug te rekenen zijn naar de originele invoer. Het probleem zit in het feit dat er maar 2¹²⁸ uitkomsten mogelijk zijn voor een MD5-hash, terwijl het aantal mogelijkheden als invoer oneindig is. Hierdoor bestaat er een zeer kleine kans dat twee verschillende woorden dezelfde hash hebben, iets dat in de cryptografiewereld als een 'collision' wordt aangeduid. Dit soort collisions maken een cryptografisch algoritme onveilig. Versie 1.0.7 van de MD5CRK-client kwam vandaag uit en kent de volgende wijzigingen:

• SPARC ALU and ALU2 cores
• Faster Alpha cores
• new email-only startpoint registration
• new automatic start-point upload
• new "-prepareBatch" option to create a HTML file which uploads all your DPs from offline machines.
• new md5_preset.xml file is consulted at startup to auto-upload your startpoints. Usful for installing in computer labs. Format:
  <md5crackPreset>
  <proxy>10.1.1.1:8080</proxy>
  <address>[e-mail]</address>
  </md5crackPreset>
• fixed upload HTML file onfocus() bug
• Added XML comments to the XML files better documenting the elements
• Added DP distance minimum, average, maximum to md5_perf.xml in 100ths of a GigaMD5
• Added MD5Rate minimum, average, maximum to md5_perf.xml in 100ths of a MegaMD5
• A serious attempt made to fix the Win95/Win98 bug when the compouter reboots where the MD5CRK client is not given a chance to properly write to the filesystem and so the XML files are not correct when the client starts up again. Have not been able to reproduce the problem yet - but this should help.
  NOTE: md5crk does NOT cause a system reboot - a normal system shutdown/reboot ini win95/98 seems to cause md5crk to no come up properly afterwards.
• md5_perf.xml file updates more often and md5_kill.xml cleanly kills md5crk client app so 3rd party apps man better interface with the md5crk client.
• added "-install2 -install3 -install4 -uninstall2 -uninstall3 -uninstall4" for manual service registration or SEPERATE DIRECTORIES on windows SMP machines.
• added CPU info to the md5_test.xml file including CPU name, MHz and model name.

Versienummer	1.0.7
Besturingssystemen	Windows 9x, Windows NT, Windows 2000, Linux, BSD, Windows XP, macOS
Website	MD5CRK
Download	http://www.md5crk.com/?sec=download
Licentietype	Freeware

Reacties (17)

[Mayco]

zijn er eigenlijk al zo'n collisions bekend? dus twee woorden die dezelfde hash hebben?

[kris_112]

voor MD5 niet. dat is juist het doel van dit project:

We aim to disprove one of the fundamental requirements of a secure message digest: No two inputs can be found which produce the same digest - this is also known as a collision.

[BramT]

Voor niet kritieke toepassingen lijkt me MD5 nog steeds goed bruikbaar anders hoor...

Voor zowel password-verificatie als file-integrity check werkt het prima. MD5 is geloof ik juist zo gemaakt dat 2 input waardes die vrijwel (maar niet helemaal) identiek zijn 2 compleet andere resultaten geven.

[jan-marten]

Wat dacht je van SHA1? Maakt een hash van 40 karakters (hex) ipv de 32 bij MD5. SHA1 zit trouwens ook al in php gebakken en er zijn ook wel javascriptjes te vinden die dat doen.

[Dubbeldrank]

Is zo'n project nou niet een gevaar qua veiligheid op internet m.b.t. betalen en beveiligen? Of zit ik er nu naast? Het lijkt me dat zodra ze een uitkomst hebben ze MD5 ook kunnen kraken.

[twiFight]

Laat ik even ruimtevaartanalogie gebruiken.

Een collision vinden om aan te tonen dat MD5 "onveilig" is = a small step

Een algoritme vinden die de hele MD5 hash kan kraken en dus "valse" files toch de goede MD5 hash kan geven = one giant leap van 3 kilometer

[smokalot]

volgens mij bewijst het distributed zijn van dit project dat het wel een veilige versleuteling is, als er zoveel rekenkracht nodig is om het te kraken...

[Verwijderd]

Het is geen versleuteling maar een message digest of secure hash. Met het eerste maak je een bericht onleesbaar, met het tweede "onderteken" je een bericht zodat de ontvanger na kan gaan dat het bericht tijdens het versturen niet veranderd is.

Dat het distributed is, is omdat MD5 (zoals alle sterke hash algoritme's) one-way is. Je kunt van een bericht heel makkelijk de hash berekenen, maar het is (als het goed is) vrijwel onmogelijk om vanuit een hash te bepalen welke berichten allemaal die hash opleveren. En dus moet je met brute kracht alle mogelijke berichten gaan hashen totdat je twee dezelfde hashes hebt...

[YCF]

iets dat in de cryptografiewereld als een 'collision' wordt aangeduid. Dit soort collisions maken een cryptografisch algoritme onveilig.

Dat is niet enkel in de cryptografische wereld zo hoor, maar bij alles dat gebruikt maak van een hashtabel. In de week nog geleerd in mijn cursus besturingssystemen en cobol.

[sjhgvr]

Yeeaay... gaaf.. ze bieden $10,000 voor diegene die de eerste collision vind
Ik las laatst een stukkie over 2 dezelfde woorden die dezelfde hash gaven.. een collision dus

Een nadeel: Dat is al weer meer dan 5x herinstall win xp terug... dus geen idee waar ik dat gelezen heb.

ff googlen...

[Proxy]

Een nadeel: Dat is al weer meer dan 5x herinstall win xp terug

Wat doe jij in hemelsnaam met je systeem dat je 5 keer moet herinstalleren?

[sjhgvr]

Deze xp heb ik ondertussen al honderden keren opnieuw geinstalled. Soms wel meerdere keren per dag, en ja, telkens op dezelfde pc.

WinXPinstall-addict

Ben nu overigens af aant kicken.
Nu staat xp er al weer bijna meer dan een week op.

[twooggy]

Ik zeg maar een paar dingen ding: Ghost oid

[Proxy]

Of gewoon opletten. Meestal zijn het juist de niet-Tweakers die vaak moeten herinstalleren door gebrek aan kennis.

[Verwijderd]

Van de site:

We aim to disprove one of the fundamental requirements of a secure message digest: No two inputs can be found which produce the same digest - this is also known as a collision

Zoals het daar staat, klopt niet helemaal. Aangezien een praktisch bruikbaar message digest altijd een eindige lengte heeft, zijn er altijd meerdere inputs die hetzelfde digest op zullen leveren. Het wordt pas een probleem als twee zinnige inputs dat doen, en helemaal als die twee inputs ook nog op elkaar lijken. Dan is het namelijk mogelijk om een bericht/website/wat-dan-ook te vervalsen terwijl het nog steeds hetzelfde digest oplevert.

Iets concreter: als ze met dit project aan willen tonen dat ze in plaats van bijvoorbeeld een stuk tekst nog andere files kunnen vinden die hetzelfde digest opleveren, dan zijn ze een open deur in aan het trappen. Er zijn namelijk oneindig veel files die dat doen. Het wordt pas leuk als ze een op het origineel gelijkende tekst vinden die dat doet.

[Zr40]

Van de site:

The MD5CRK project is attempting to find such a collision. Also, the collision will be of two ASCII text inputs.

[PoisonouZ]

Hmz, zo maar eens aangedaan nog geen DPC team?

edit: oops toch wel *join*