La taille de l'entrée n'est pas pertinente. En fait, à cause du paradoxe de l'anniversaire, vous n'avez pas besoin de plus que la taille du hachage pour garantir les collisions. La meilleure façon d'éviter les collisions est d'utiliser un hachage plus fort qui ne leur est pas vulnérable, tel que SHA-2. Cependant, vous décrivez une attaque plus difficile qu'une attaque par collision, appelée attaque de pré-image , contre laquelle MD5 est à l'abri.

Il existe trois types d'attaques ^{* qui aboutissent à avoir deux fichiers avec le même condensé:}

• 1ère préimage - Trouvez une entrée qui résout un hachage spécifique.

• 2e préimage - Modifiez une entrée sans changer le hachage résultant.

• Collision - Trouvez deux entrées distinctes qui ont le même hachage.

On les appelle des attaques quand elles peuvent être effectuées plus efficacement que par une recherche par force brute. Les collisions peuvent toujours se produire naturellement, et en fait, elles sont garanties avec une quantité non négligeable d'entrées en raison du principe du casier, mais les hachages sont conçus pour rendre difficile intentionnellement effectuer. Pour un hachage avec une sortie de la taille de MD5, le risque d'une collision accidentelle aléatoire est extrêmement faible. Même si vous hachez 6 milliards de fichiers aléatoires par seconde , cela prendrait 100 ans avant d'avoir 50% de chances que deux hachages entrent en collision. MD5 est excellent pour détecter une corruption accidentelle.

Une fonction de hachage n bits forte est conçue pour avoir un niveau de sécurité de 2 ⁿ contre les 1ère et 2ème attaques de pré-image et un niveau de sécurité de 2 ^{n / 2} contre les attaques par collision. Pour un hachage de 128 bits comme MD5, cela signifie qu'il a été conçu pour avoir un niveau de sécurité de 2 ¹²⁸ contre les pré-images et de 2 ⁶⁴ contre les collisions. À mesure que les attaques s'améliorent, le niveau de sécurité réel qu'elles peuvent fournir est progressivement réduit.

MD5 est vulnérable à une attaque de collision nécessitant l'équivalent de seulement 2 ¹⁸ invocations de hachage au lieu des 2 ⁶⁴ à exploiter. À moins que l'attaquant ne génère les deux fichiers, il ne s'agit pas d'une attaque par collision. ^† Un attaquant qui possède un fichier et veut le modifier de manière malveillante sans le le changement de hachage nécessiterait de monter une deuxième attaque de pré-image, ce qui est totalement irréalisable contre MD5 avec la technologie moderne (la meilleure attaque a une complexité de 2 ^{123,4 sup >, par rapport au maximum théorique de MD5 de 2 128 ). Les attaques par collision sont pertinentes dans différentes situations. Par exemple, si vous recevez un exécutable créé par un attaquant sans porte dérobée, vous pouvez le hacher et enregistrer le hachage. Cet exécutable pourrait ensuite être remplacé par une version backdoor, mais le hachage serait le même que celui bénin! C'est également un problème pour les certificats où quelqu'un pourrait soumettre un certificat pour un domaine qu'il possède, mais le certificat entrerait intentionnellement en collision avec un pour un domaine qu'il ne possède pas.}

Il est sûr d'utiliser MD5 pour vérifier les fichiers tant que le hachage stocké n'est pas soumis à la falsification et peut être considéré comme correct, et tant que les fichiers vérifiés n'ont pas été créés (ou influencés!) Par un attaquant. Cependant, il peut toujours être judicieux d'utiliser un hachage plus puissant, simplement pour éviter qu'une attaque de préimage pratique potentielle contre MD5 à l'avenir ne mette en danger vos données. Si vous voulez un hachage moderne très rapide mais toujours sécurisé sur le plan cryptographique, vous pouvez consulter BLAKE2.

_{* Bien qu'il existe d'autres attaques contre MD5 telles que les attaques d'extension de longueur qui affectent tous les hachages Merkle – Damgård comme mentionné par @LieRyan, elles ne sont pas pertinentes pour vérifier l'intégrité d'un fichier par rapport à un hachage correct.}

_{^† Une variante de l'attaque par collision appelée attaque par collision avec préfixe choisi est capable de prendre deux messages arbitraires (préfixes) et de trouver deux valeurs qui, lorsqu'il est ajouté à chaque message, il en résulte un condensé de collision. Cette attaque est plus difficile à réaliser qu'une attaque de collision classique. Comme l'attaque d'extension de longueur, cela ne s'applique qu'aux hachages Merkle – Damgård.}

Cela dépend de ce contre quoi vous voulez vous défendre

La sécurité n’est jamais un jeu unique. Si c'était le cas, il n'y aurait pas 12941 algorithmes de hachage différents. Au lieu de cela, vous devez comprendre que chaque mesure de sécurité vous protège contre un type d'attaque spécifique. Vous mettez un mot de passe dans votre ordinateur pour vous défendre contre des personnes aléatoires qui y accèdent, pas parce que c'est tellement amusant de taper whereD1DweG0sowron6 chaque fois que vous vous connectez.

En ce qui concerne les algorithmes de hachage, vous pouvez grossièrement les classer comme "hachages cryptographiques" et "hachages non cryptographiques". Les algorithmes de hachage cryptographique sont conçus pour résister à un certain nombre d'attaques, tandis que les hachages non cryptographiques sont conçus pour être aussi rapides que possible. ¹ MD5, par exemple, est considéré comme un hachage cryptographique, mais si cassé qu'il est utilisable uniquement comme hachage non cryptographique.

Quand utiliser un hachage non cryptographique

Si votre objectif est de détecter des retournements de bits lors de la copie d'un fichier d'un emplacement à un autre ( disons, une clé USB à un ordinateur portable), alors MD5 est absolument le bon choix. J'irais même jusqu'à dire que tout hachage rapide et non cryptographique est bon. Lorsque vous copiez des fichiers, vous n'avez pas vraiment à craindre les interférences des attaquants. Si vous êtes paranoïaque à propos de la possibilité pour les pirates de modifier votre noyau, alors l'ajout de hachages ne résoudra pas vos problèmes.

Vérifier l'intégrité des fichiers avec les interférences des attaquants

Si vous avez l'intention de les signer et de les publier fichiers, alors un attaquant pourrait avoir la capacité de créer un fichier éventuellement légitime avec le même hachage - ce qui signifie que votre signature est tout aussi valide sur le fichier malveillant.

Un exemple

Allons dites que votre message d'origine m1 ressemble à ceci:

Je déclare par la présente que les règles du lapin!

Vous utilisez votre fonction de hachage h (m1) et obtenez le condensé d1 . Ensuite, vous signez le condensé d1 et obtenez une signature s1 .

Vous publiez ensuite votre message m1 , votre signature s1 et votre fonction de hachage h().

I pourrait être l'attaquant dans le scénario et créer un message m2 qui a exactement le même hachage dans la fonction de hachage choisie:

Il est publiquement connu que les chiens valent mieux que des lapins à tous égards ...

Puisque h (m1) = h (m2) = d1 , la signature s1 est valide pour votre m1 original et mon m2 malveillant.

Afin de vous défendre contre de telles attaques, il est vital de choisir un algorithme de hachage fort avec haute résistance aux collisions. Cela signifie qu'il devient très difficile pour moi de trouver un m2 où h (m2) = h (m1) .

De bons choix incluraient SHA256 et SHA512, ainsi que des tonnes d'autres. Il semble que tout le monde a des fonctions de hachage non grand public préférées, mais SHA256 et SHA512 ont un support très répandu et il vous sera difficile de trouver un système qui ne prend pas en charge ces hachages. Et comme vos fichiers sont très petits, le calcul du hachage devrait être presque instantané.

Par exemple, sur ma machine à 800 MHz, le calcul du hachage SHA512 d'un fichier aléatoire de 16k a pris 3 ms, donc même sur un grille-pain, cela devrait être relativement rapide.

¹ Vous pouvez voir la même chose avec les générateurs de nombres aléatoires. Les PRNG cryptographiques visent à fournir des nombres aléatoires qui sont vraiment difficiles à deviner, tandis que les PRNG non cryptographiques visent à donner simplement des nombres qui semblent aléatoires à première vue et le font rapidement.

La taille du fichier ne fait aucune différence. MD5 est basé sur la construction Merkle – Damgård, qui est vulnérable à l ' attaque par extension de longueur. 15kb est suffisant pour faire l'attaque d'extension de longueur. Il existe de nombreuses collisions et méthodes connues pour générer des collisions MD5 d'une longueur de quelques centaines d'octets, et une fois qu'une collision de base est trouvée, être vulnérable à l'extension de longueur signifie qu'elles peuvent être utilisées pour générer un nombre arbitraire de collisions supplémentaires.

La taille en soi n'est pas extrêmement pertinente, les données de collision peuvent être aussi petites qu'un seul bloc.

Cependant, vous êtes beaucoup plus en sécurité avec une collection de fichiers texte qu'avec une collection de fichiers PDF ou similaire.

Pourquoi? car les résultats d'une attaque par collision aboutissent généralement à ce que les deux fichiers de la paire contiennent des "déchets aléatoires". Dans un format riche, ces déchets d'apparence aléatoire peuvent être cachés de la vue afin que l'attaquant puisse tromper l'administrateur de la collecte en acceptant l'un de leurs paires de fichiers en collision.

Dans un fichier texte, cependant, le contenu est visible par tous.

Réponse courte: Non, il n'est pas sûr d'utiliser MD5 pour vérifier l'intégrité des fichiers, courts ou longs.

La réponse complète dépend de le degré de confiance vous êtes dans la distribution des erreurs .

Y a-t-il une chance aléatoire indépendante de retournements de bits à chaque position du fichier en raison de la transmission sur un canal légèrement avec perte comme un port série? Si tel est le cas, vous pouvez utiliser MD5, mais il est beaucoup moins coûteux d'utiliser un CRC, qui est garanti pour détecter un retournement de bit unique, et peut être garanti par des choix standard de polynôme CRC pour détecter tous les nombres impairs de retournements de bits.

Mais vous avez posé une question sur secure , ce qui suggère que vous envisagez des adversaires légèrement plus intelligents qu'un port série avec perte. Si vous n'êtes pas sûr que les erreurs sont des retournements de bits aléatoires indépendants, n'utilisez pas MD5 ou un CRC. Il est très facile pour les adversaires intelligents de trouver des paires de fichiers distincts qui partagent un hachage MD5 commun, ou somme de contrôle CRC, et dans de nombreux scénarios, cela peut permettre à un adversaire de falsifier des documents que votre système MD5 ne détectera pas. La taille du fichier n'est pas pertinente: il est facile de trouver des collisions MD5 dans des fichiers aussi courts que 64 octets, sans aucune limite sur leur longueur.

Il y a un endroit pour discuter des différences techniques entre les attaques de collision, les attaques de pré-image et les attaques de seconde pré-image. Une réponse à une question générale pour savoir s’il est sécurisé de vérifier l’intégrité des fichiers n’est pas un tel endroit. Lorsque vous avez en tête un protocole spécifique dans lequel vous pouvez articuler les pouvoirs précis de l’adversaire et comment les utilisateurs légitimes se comporteront dans le protocole, et vous avez des contraintes d’implémentation qui limiter votre choix de fonctions de hachage afin que vous devez considérer MD5, alors nous pouvons discuter (peut-être sur crypto.SE) s’il est sûr d’utiliser MD5 dans ce protocole pour atteindre la sécurité que vous espérez atteindre contre un tel adversaire.

Mais il serait beaucoup plus simple et plus sûr pour vous d'utiliser simplement SHA-2, ou SHA-3 ou BLAKE2.