世界密碼日剛過(guò)，卡巴斯基扔出一組扎心數(shù)字：用一張英偉達(dá)RTX 5090顯卡，1小時(shí)內(nèi)能攻破60%的密碼。測(cè)試樣本來(lái)自暗網(wǎng)泄露的2.31億條真實(shí)密碼，全部用MD5哈希存儲(chǔ)。

這個(gè)數(shù)字本身不算意外——兩年前同樣測(cè)試的比例是59%。但1%的增量放在2.31億條樣本里，意味著又有數(shù)百萬(wàn)條密碼從"理論上安全"滑進(jìn)了"幾乎擋不住"的區(qū)間。

問(wèn)題出在MD5的設(shè)計(jì)邏輯。這種老牌哈希算法以"快"著稱，過(guò)去常用于文件校驗(yàn)、數(shù)據(jù)去重。但密碼存儲(chǔ)恰恰不需要快，而是需要慢。一旦數(shù)據(jù)庫(kù)泄露，攻擊者能用GPU每秒窮舉數(shù)十億個(gè)候選密碼，MD5的低計(jì)算開(kāi)銷反而成了幫兇。

常見(jiàn)誤區(qū)是把MD5當(dāng)成"加密"。實(shí)際上它是單向哈希，不可逆，但"不可逆"不等于"安全"。算法過(guò)快、碰撞風(fēng)險(xiǎn)高，暴力破解只是時(shí)間問(wèn)題。

相比之下，bcrypt和Argon2這類專為密碼設(shè)計(jì)的方案要"貴"得多——它們故意拉高每次計(jì)算成本，把攻擊時(shí)間從小時(shí)拉到年，硬件投入也隨之飆升?？ò退够慕ㄗh很直接：停用MD5，換用bcrypt或Argon2，同時(shí)開(kāi)多因素認(rèn)證，能換Passkey的地方盡量換。

密碼長(zhǎng)度仍是硬指標(biāo)，但用戶習(xí)慣難改。"123456"這類簡(jiǎn)單模式至今泛濫。技術(shù)方案再完善，也架不住人在鍵盤上偷懶。