《弱密码（口令）在AI时代的窘境》第二季：密码hash值同样“不堪一击”！

原创

飞天诚信
飞天诚信

飞天诚信

2026年6月16日 16:36
北京

在小说阅读器读本章

去阅读

近日，全球网络安全厂商卡巴斯基发布报告，针对暗网泄露的2.31亿条密码（口令）MD5 Hash值展开测试，发现单张英伟达RTX5090显卡能在一小时内破解其中60%的密码，比两年前的结果增加了1个百分点。这意味着又有数百万条密码变得更容易被破解。

测试中，卡巴斯基团队利用RTX5090的CUDA核心并行处理特性，使用暴力破解的方式攻击目标MD5哈希值：生成大量可能的明文密码、计算其哈希值，再与暗网泄露的哈希数据对比，最终实现破解。RTX5090是英伟达2024年推出的旗舰消费级显卡，具有极其强大的并行计算能力，能够作为AI领域的高性能计算节点，为AI训练以及AI推理（应用）提供算力支持，同时也为密码暴力破解提供了支撑。暴力破解是最传统的密码破解方式，过去受限于算力不足而显得效率低下，但随着GPU的爆发，暴力破解得以重获新生。报告显示，RTX 5090的MD5运算速度高达每秒2200亿次，暴力破解效率较上一代RTX 4090提升34%。报告特别强调，若采用多卡并行或云集群部署，性能还将进一步提升。

除了暴力破解之外，基于机器学习的“智能”破解更具威胁。卡巴斯基专家指出，基于海量泄露密码数据库训练的AI模型，能够精准捕捉人类设置密码的行为模式，进而优先测试最可能的密码组合，大幅提升破解效率。这些行为模式主要包括：

流行词替换：将“password”替换为“p@ssw0rd”之类；
扫键盘：如“qwerty”“asdfgh”等键盘上的连续按键组合；
个人信息嵌入：将姓名缩写与生日、手机号后几位等个人信息组合；
常见后缀：添加“!”“@”“#”“2025”“abc”等常用后缀。

报告指出，随着这类“智能”破解的普及，一些复杂度符合要求（包含大小写字母、数字和特殊符号）的口令可能会像弱口令一样更容易被破解。

GPU不仅服务于游戏娱乐和AI训练，也给密码破解者提供了廉价且强大的超级算力。得益于云服务商提供的GPU算力租用服务，攻击者甚至无需斥资购买高端显卡，只需租用几小时的GPU算力，就能完成针对性的密码破解攻击。这也直接导致暗网市场上“已破解哈希数据库”的交易愈发活跃，进一步加剧了密码安全危机。

针对口令风险，飞天诚信结合卡巴斯基报告给出以下建议：

使用新一代合规hash算法：MD5发布于1991年，因计算速度快、实现简单曾被广泛用于密码存储，但在当前技术条件下已经显得安全强度不足（实际上，美国NIST早在2010年就已经建议停用MD5，我国也早已将MD5被列为不合规密码算法）。使用SM3等新一代hash算法（以及未来的PQC hash算法），能够有效地降低基于GPU进行暴力破解的效率，缓解风险；
口令存储使用加扰（salt）机制：在计算口令hash值时加入随机数，将所加入的随机数与计算得出的hash值一并存储。这能够有效防御基于彩虹表（预先计算好的哈希值与明文密码的对应表）的“撞库”攻击，也能够在一定程度上降低暴力破解的效率；
在口令基础上部署第二因子认证（2FA）进行强化（例如部署飞天诚信OTP认证系统，构建“口令+动态口令”的MFA，同时满足等保和密评第三级别的要求），避免密码被破解导致的安全风险快速扩大。对于银行核心业务系统、企业ERP等关键信息系统，考虑使用基于安全硬件的MFA（例如飞天诚信FIDO Security Key）进一步提升MFA安全强度；
部署不依赖口令的“无密码”（passwordless）多因子认证（MFA）代替口令。例如FIDO Passkey是基于FIDO2协议的“无密码”MFA解决方案，使用非对称密码技术，在验证端保存的不是口令而是公钥。根据密码学原理，公钥可以公开，不影响数字签名的安全性。

作为FIDO联盟董事会成员，飞天诚信积累了丰富的“无密码”身份认证经验，构建了完善的FIDO Security Key产品线，其安全性能够满足NIST SP 800-63B中最高级别（AAL3）的要求。