在很多老项目里，我们现在仍然能够碰到类似下面这样的代码。

```java
MessageDigest md = MessageDigest.getInstance("MD5");
byte[] digest = md.digest(data);
```

或者把 `MD5` 换成 `SHA-1`。

再往老一些的数据库、文件服务器、FTP 下载页面、软件发布系统里看，经常还能看到一串 32 位十六进制字符，或者一串 40 位十六进制字符。32 位十六进制字符串往往对应 MD5，40 位十六进制字符串往往对应 SHA-1。

表面看来，两者的区别似乎只是一个输出 128 bit，另一个输出 160 bit。

可真正影响工程安全的差异，并不只是多出来的那 32 bit。

今天再讨论 MD5 和 SHA-1，真正应该关心的问题是，我们到底想用哈希函数解决什么问题。如果只是判断一个文件在网络传输过程中有没有因为随机错误而发生变化，MD5 仍然能够发现绝大多数非恶意的数据损坏。如果希望证明一个软件安装包没有被攻击者恶意替换，MD5 就已经不能承担这样的安全责任。SHA-1 曾经比 MD5 安全很多，但今天也已经退出需要抗碰撞能力的现代密码学场景。

理解这一点，比背诵 MD5 是 128 bit、SHA-1 是 160 bit 重要得多。

哈希函数可以把任意长度的数据压缩成固定长度的摘要。

假设有一个 5 GB 的 ISO 镜像文件，通过 MD5 计算之后得到一个 128 bit 的结果。即使输入换成几十个字节的一句话，输出依然是 128 bit。SHA-1 也是如此，只不过结果固定为 160 bit。

因此，哈希不是压缩算法。

压缩之后通常还希望把数据恢复回来，而密码学哈希设计时恰恰希望这种反向恢复极其困难。

它也不是加密。

AES 加密之后，只要拥有正确密钥，就应该能够解密回原始明文。而对于 MD5 或 SHA-1，并不存在一个对应的解密操作。输入经过哈希之后，大量信息已经在数学意义上丢失。

这一点可以从最简单的计数关系理解。

MD5 的输出空间只有

$$
2^{128}
$$

种可能。

SHA-1 的输出空间只有

$$
2^{160}
$$

种可能。

但可能输入的数据数量几乎没有上限。

因此，一定存在两个不同输入拥有同一个哈希值。这里甚至不需要密码学证明，只需要鸽巢原理就足够了。

真正的问题从来不是碰撞是否存在，而是攻击者能不能在现实成本下主动构造出碰撞。

这正是 MD5 和 SHA-1 后来逐步退出安全领域的原因。

MD5 由 Ronald Rivest 设计，并在 1992 年通过 RFC 1321 公开。它接受任意长度消息，经过填充之后，把数据划分成 512 bit 的数据块进行处理，内部状态为 128 bit，最终输出也是 128 bit。

如果写成最简化的结构，可以理解成

```text
输入消息
   ↓
填充
   ↓
切成多个 512 bit Block
   ↓
迭代压缩
   ↓
128 bit Digest
```

MD5 的内部状态可以看成四个 32 bit 寄存器。

$$
A,B,C,D
$$

四者一共正好 128 bit。

每个 512 bit 消息块都会经历多轮非线性运算、模加法和循环移位，逐渐改变这四个状态。全部消息处理结束之后，四个状态连接起来形成最终 MD5 摘要。

常见的 MD5 十六进制表示有 32 个字符。

这是因为一个十六进制字符能够表达 4 bit，所以

$$
128 \div 4 = 32
$$

例如字符串 `abc` 的 MD5 为

```text
900150983cd24fb0d6963f7d28e17f72
```

看到 32 个十六进制字符时，就很容易想到 128 bit。

SHA-1 出现得稍晚，由美国 NIST 标准体系定义。它同样按照 512 bit 数据块处理消息，但是内部使用五个 32 bit 状态字。

$$
H_0,H_1,H_2,H_3,H_4
$$

于是内部状态长度为

$$
5 \times 32 = 160
$$

SHA-1 最终输出也是 160 bit。

对应的十六进制字符串长度为

$$
160 \div 4 = 40
$$

字符串 `abc` 的 SHA-1 为

```text
a9993e364706816aba3e25717850c26c9cd0d89d
```

所以日常排查老系统时有一个非常实用的经验。

看到 32 位十六进制摘要，很可能是 MD5。

看到 40 位十六进制摘要，很可能是 SHA-1。

不过，仅凭字符串长度不能百分之百判断算法，因为任何程序都可以截断、拼接或者自定义编码。

两种算法还有一个很有意思的共同点，它们都属于经典的迭代型哈希设计，都把长消息拆成固定长度块，再让当前状态和新消息块不断进入压缩函数。

这种结构带来了极高的工程效率，同时也带来一个经常被开发人员忽略的问题，长度扩展攻击。

假定某个老系统为了生成 API 签名，写出了这种逻辑。

```text
hash(secret || message)
```

开发人员可能认为 secret 不公开，因此攻击者不知道完整输入，自然无法计算合法摘要。

对于 MD5、SHA-1 这类采用 Merkle-Damgård 风格迭代结构的哈希来说，这种设计并不安全。攻击者在某些条件下可以利用已有摘要以及消息长度，继续计算后续数据对应的哈希状态，而不需要知道 secret。

因此，需要消息认证时，我们不应该自行发明

```text
MD5(secret || message)
```

或者

```text
SHA1(secret || message)
```

这样的协议。

正确方向通常是 HMAC。

例如

```text
HMAC-SHA-256
```

HMAC 的结构专门考虑了直接拼接密钥和消息可能产生的问题。

这里也能看出一个经常出现的认知误区，某个哈希算法存在碰撞攻击，并不等同于围绕它构造的一切机制同时以完全相同方式失效。RFC 6151 在讨论 MD5 时就区分了 MD5 自身碰撞安全性与 HMAC-MD5 的实际攻击情况。不过，对于新的协议设计，再继续选择 HMAC-MD5 已经没有什么工程价值，更合理的选择是 HMAC-SHA-256 等现代方案。

# 真正拉开 MD5 和 SHA-1 差距的是碰撞安全性

密码学哈希通常讨论三种非常重要的攻击目标。

一种叫原像攻击。

已知一个摘要

$$
h
$$

希望找到某个消息

$$
m
$$

使得

$$
H(m)=h
$$

这可以理解为，从结果倒推一个能够产生该结果的输入。

对于理想的 n bit 哈希函数，暴力寻找原像大约需要

$$
2^n
$$

级别工作量。

另一种叫第二原像攻击。

攻击者已经知道一个消息

$$
m_1
$$

希望找到另一个不同消息

$$
m_2
$$

满足

$$
H(m_1)=H(m_2)
$$

还有一种就是著名的碰撞攻击。

这里不要求预先指定某个消息，只需要找出任意两个不同消息

$$
m_1 \ne m_2
$$

并且让

$$
H(m_1)=H(m_2)
$$

即可。

碰撞攻击有一个很容易令人意外的数学性质。

对于 n bit 的理想哈希，碰撞安全强度通常不是

$$
2^n
$$

而只有大约

$$
2^{n/2}
$$

这来自生日悖论。

因此，对于理想的 128 bit 哈希，理论碰撞安全强度大约只有

$$
2^{64}
$$

而理想的 160 bit 哈希大约为

$$
2^{80}
$$

如果 MD5 和 SHA-1 都是完美的理想哈希，SHA-1 在碰撞安全性上原本应该拥有明显优势。

问题在于，真实算法不是理想随机函数。

密码分析人员能够研究内部差分路径，找到远低于理论暴力搜索复杂度的方法。

MD5 在这一点上败得非常彻底。

2004 年前后，王小云等研究人员公布了针对 MD5 的高效碰撞攻击，此后 MD5 的碰撞构造不断被工程化和优化。研究已经证明，攻击者能够有目的地制造不同数据，使其得到同一个 MD5 摘要。

这和随机遇到两个相同哈希完全不是一回事。

随机碰撞可以类比成在巨大人群中偶然遇到生日相同的人。

密码学碰撞攻击更像是主动设计两份不同文件，同时控制其中的数据结构，最后让它们拥有相同摘要。

这会直接破坏数字签名场景。

假设某套文档审批系统采用这样的流程。

```text
合同文件
   ↓
MD5
   ↓
128 bit 摘要
   ↓
私钥签名摘要
```

数字签名并不会直接对几十 MB 的 PDF 做昂贵的公钥运算，常见设计是先计算哈希，再对摘要进行签名。

如果攻击者能够构造

```text
合法合同 A
恶意合同 B
```

并让二者满足

$$
MD5(A)=MD5(B)
$$

那么针对 A 摘要生成的签名，在某些设计中就可能被转移到 B 上。

签名算法本身可能一点问题都没有。

RSA 私钥没有泄漏。

CA 证书没有泄漏。

真正倒塌的是签名前面的哈希层。

这也是为什么碰撞攻击对数字签名特别致命。

RFC 6151 已经明确指出，在需要碰撞抗性的场景中不应继续使用 MD5，数字签名就是典型场景。

SHA-1 的历史轨迹类似，只是它比 MD5 多坚持了很多年。

SHA-1 输出 160 bit，设计目标原本提供大约 80 bit 的碰撞安全强度。早期密码分析已经说明，它的实际碰撞强度低于理想模型。

真正让 SHA-1 从理论风险变成现实风险的事件发生在 2017 年。

Google 与 CWI Amsterdam 的研究人员公开了 SHAttered 项目，展示了第一个公开的实际 SHA-1 碰撞。他们构造了两个内容不同的 PDF 文件，却拥有完全相同的 SHA-1 摘要。

这件事很重要，因为从这一刻开始，SHA-1 碰撞已经不再只是论文中的复杂度估算。

可以直接拿两个真实 PDF 文件验证。

计算两个文件的 SHA-1，结果完全相同。

文件内容却不同。

这就是密码学里碰撞概念最直观的现实案例之一。

因此，如果只问 MD5 和 SHA-1 谁更安全，在历史设计强度上 SHA-1 确实高于 MD5，但在现代安全系统里，这个比较已经没有太大的决策价值。

就像比较两把已经达不到现代安全标准的门锁，某一把可能比另一把强，但新建保险库时不会因为它相对更强就继续采用。

NIST 已经要求逐步彻底退出 SHA-1，并计划在 2030 年年底前完成相关迁移。NIST 推荐依赖 SHA-1 提供安全性的系统迁移到 SHA-2 或 SHA-3。

# 文件校验、数字签名和密码存储不能混为一谈

讨论 MD5 和 SHA-1 时，最容易出现的问题就是一句话宣布某个算法安全或者不安全。

实际工程里，这种说法太粗。

安全与否必须和使用场景绑在一起。

假设我们从 NAS 复制一个 20 GB 的虚拟机镜像，希望确认 SATA 硬盘、网络、内存或者复制程序没有因为偶发错误改变文件内容。

这里并不存在一个主动攻击者试图精心制造碰撞。

计算复制前后的 MD5，如果结果一致，用来发现随机传输错误依然有实际作用。

RFC 6151 也区分了这种单纯检测非恶意错误的用途与真正依赖碰撞抗性的安全用途。

但如果场景变成从公共网络下载操作系统镜像，而网页同时公布一个 MD5，希望通过 MD5 判断文件有没有被攻击者篡改，情况完全不同。

攻击者如果能够同时替换下载文件和网页上的 MD5，那么无论使用什么裸哈希都解决不了问题。

攻击者如果不能修改可信渠道中的摘要，却能够利用算法碰撞弱点精心构造文件，那么 MD5 的安全风险又会暴露出来。

因此，完整的软件供应链通常不能只依赖裸哈希。

现代软件发布更常见的思路是数字签名、代码签名、可信证书链、签名的软件仓库元数据等。

哈希只是其中一个零件。

同样的道理也适用于 SHA-1。

Git 历史上大量使用 SHA-1 标识对象，因此很多开发人员第一次系统接触 SHA-1 就是在 Git 中看到 40 个十六进制字符。

```text
e83c5163316f89bfbde7d9ab23ca2e25604af290
```

这里需要区分对象标识和密码学安全保证。

哈希可以同时承担寻址、去重、完整性检测、安全认证等不同角色，但不同角色需要的安全性质不同。不能看到系统里存在 SHA-1，就立即推出整个系统能够被轻松攻破，也不能因为某个系统仍能正常运行，就反过来证明 SHA-1 仍适合作为现代数字签名哈希。

密码存储更容易产生误解。

很多早期数据库会直接保存

```text
MD5(password)
```

或者

```text
SHA1(password)
```

这种设计今天同样不合格。

这里的问题甚至主要不是碰撞。

攻击密码哈希时，攻击者通常拿到数据库中的目标摘要，希望找到某个能够匹配该摘要的密码。

这个攻击方向更接近原像搜索和字典攻击。

MD5 和 SHA-1 都非常快。

对于文件校验来说，快是优点。

对于密码保存来说，快反而是缺点。

攻击者拿到密码数据库之后，可以使用现代 GPU 每秒尝试海量候选密码。人类密码通常又不是 128 bit 或 160 bit 的均匀随机数据，而是来自极其有限的词典、姓名、日期、键盘序列和常见组合。

假设密码是

```text
jerry123456
```

即使它的 MD5 看起来像毫无规律的 32 位十六进制字符串，也不能因此认为已经获得了 128 bit 安全性。

密码本身可能只有很低的有效熵。

攻击者只需要按照常用密码词典计算 MD5 并比较结果。

SHA-1 也没有解决这个问题。

把 128 bit 输出提升到 160 bit，并不会让 `12345678` 这样的弱密码突然获得高安全性。

现代密码存储应该选择专门的 Password Hashing 或 Password-Based Key Derivation 方案，例如 Argon2id、scrypt、bcrypt 或 PBKDF2，并结合随机 salt 与合适的成本参数。

这些算法刻意让每一次密码猜测变得昂贵。

Argon2id 还可以消耗较多内存，从而提高大规模 GPU、ASIC 并行破解的成本。

这与 MD5、SHA-1 追求高吞吐的设计目标完全不同。

因此，开发中看到

```text
MD5 password
```

时，不应该把修改为

```text
SHA1 password
```

视为安全升级。

甚至简单换成

```text
SHA256 password
```

也没有真正解决密码存储问题。

因为 SHA-256 依然是通用快速哈希函数。

正确的改造方向应该是密码哈希算法，而不是单纯寻找输出位数更长的普通哈希。

MD5 和 SHA-1 还有另一个常见区别，性能。

MD5 设计更早，内部操作相对简单，在不少 CPU 和软件实现中速度非常快。SHA-1 有 80 轮处理，输出也更长，传统软件实现一般比 MD5 更重一些。

不过，在现代工程里，单纯比较这两个算法谁快已经越来越没有意义。

现代 CPU 拥有各种针对 SHA 系列算法的硬件指令优化，一些平台上的 SHA-256 性能已经非常不错。安全协议也不会因为 MD5 节省一点 CPU 就重新选择 MD5。

当系统需要高速非密码学哈希时，完全可以考虑 xxHash、MurmurHash 等专门算法。

当系统需要密码学哈希时，则应该采用仍处于安全范围内的 SHA-256、SHA-384、SHA-512、SHA-3、BLAKE2 或 BLAKE3 等方案，并根据协议标准选择。

这里还有一个很实用的工程判断方法。

看到 MD5 时，可以先问，它承担的是普通校验还是安全证明。

看到 SHA-1 时，也应该问同样的问题。

如果只是老数据库里的内容指纹、缓存 Key、去重标识，而且攻击者无法通过构造碰撞获得安全收益，迁移紧迫度和数字签名系统完全不同。

如果 MD5 或 SHA-1 位于证书、数字签名、软件发布、代码签名、认证协议、可信文件验证等安全边界上，就应该把它视为明确的技术债务。

如果发现数据库使用 MD5 或 SHA-1 保存登录密码，也应该进行密码存储体系升级，而不是简单替换成另一种快速哈希。

如果是新项目，就更没有必要在 MD5 和 SHA-1 中做二选一。

普通密码学摘要可以优先考虑 SHA-256。

需要消息认证可以采用 HMAC-SHA-256。

需要保存密码可以采用 Argon2id 等密码哈希。

需要校验偶发传输错误，如果协议已经规定 CRC，也不必强行使用密码学哈希。

需要极高性能的非安全哈希，则可以采用专门的高速哈希。

算法应该由问题决定，而不是由习惯决定。

回到最开始那个问题，MD5 和 SHA-1 到底有什么区别。

MD5 产生 128 bit 摘要，通常表示成 32 个十六进制字符。SHA-1 产生 160 bit 摘要，通常表示成 40 个十六进制字符。

MD5 使用四个主要 32 bit 状态字，SHA-1 使用五个主要 32 bit 状态字。两者都采用分块迭代处理思路，消息块大小都是 512 bit，但具体压缩函数、轮数、布尔函数、常量和消息扩展机制并不相同。

SHA-1 的原始设计安全裕量明显高于 MD5，理论碰撞空间也更大。

可现实密码分析已经让两者的碰撞安全性都无法满足现代高安全场景。

MD5 的碰撞已经可以非常高效地构造。

SHA-1 的实际碰撞则已经通过 SHAttered 得到公开演示。RFC 6194 早已指出 SHA-1 的碰撞抗性低于原始设计预期，而后续实际攻击又进一步确认了这一风险。

因此，把两者放在今天的工程环境里，可以得到一个非常清晰的认识。

MD5 是已经退出密码学安全场景的老算法。

SHA-1 是曾经比 MD5 更强、但也已经退出现代碰撞安全场景的老算法。

它们仍然可能存在于旧协议、旧数据库、历史文件格式、版本控制数据、兼容性接口和非敌对环境的数据校验中。维护老系统时仍然需要理解它们，但这种理解的目的已经不再是学习应该如何在新系统中使用，而是知道什么时候必须兼容，什么时候必须迁移，以及什么时候不能把一个普通摘要误认为安全证明。

真正需要记住的并不是 MD5 等于 128 bit、SHA-1 等于 160 bit 这两个孤立数字，而是哈希函数背后的安全模型。

哈希值相同，并不天然证明两个文件相同。

摘要位数更长，也不自动代表算法在现实密码分析面前仍然安全。

碰撞安全、原像安全、第二原像安全、消息认证和密码存储是不同问题。

MD5 的失败主要让我们看到碰撞抗性被攻破之后会发生什么。

SHA-1 的历史则进一步说明，一种密码算法即使曾经被广泛认为足够安全，也可能随着密码分析技术、硬件算力以及实际攻击工程能力的发展逐渐退出历史舞台。

现代系统设计真正需要的，不是寻找一个永远不会过时的哈希函数，而是把算法当成可迁移的安全组件。

协议中预留算法协商能力。

数据库中记录密码哈希版本和参数。

数字签名系统避免把算法写死。

软件供应链采用能够升级的签名体系。

到了需要迁移 SHA-256、SHA-3 或其他算法的那一天，系统才不会再次经历 MD5 和 SHA-1 时代那种漫长而痛苦的技术债清理。

这也是 MD5 和 SHA-1 留给现代软件工程最有价值的一课。

## 参考资料

RFC 6151，Updated Security Considerations for the MD5 Message-Digest and the HMAC-MD5 Algorithms

RFC 6194，Security Considerations for the SHA-0 and SHA-1 Message-Digest Algorithms

Google Security Blog，Announcing the first SHA1 collision，介绍 2017 年 SHAttered 实际 SHA-1 碰撞

NIST，Transitioning Away from SHA-1 for All Applications，介绍 SHA-1 全面迁移计划与 2030 年时间节点

NIST，Hash Functions Policy，介绍 SHA-1、SHA-2 与 SHA-3 的官方使用政策

再往老一些的数据库、文件服务器、FTP 下载页面、软件发布系统里看，经常还能看到一串 32 位十六进制字符，或者一串 40 位十六进制字符。32 位十六进制字符串往往对应 MD5，40 位十六进制字符串往往对应 SHA-1。

MD5 和 SHA-1 到底差在哪里，从哈希碰撞到现代密码学安全边界

紫薇堂堂主

安全

编程语言

MD5与SHA-1均为老式哈希算法，分别输出128位与160位摘要，已无法满足现代碰撞安全需求。MD5碰撞极易构造，SHA-1碰撞亦已公开演示，二者均不适用于数字签名或密码存储。新系统应采用SHA-256或Argon2id，并依据用途区分普通校验与安全证明。

软件工程

数据恢复

哈希函数

数字签名

数据结构

代码解释

数据库

服务器

虚拟机

ASIC

4核4G3M云服务器 新用户低至38元/年！

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

MD5 和 SHA-1 到底差在哪里，从哈希碰撞到现代密码学安全边界-腾讯云开发者社区-腾讯云

MD5 和 SHA-1 到底差在哪里，从哈希碰撞到现代密码学安全边界

MD5 和 SHA-1 到底差在哪里，从哈希碰撞到现代密码学安全边界

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐