卡巴斯基单张RTX 5090测试2.31亿条密码，60%能在1小时内攻破

IT之家 5 月 9 日消息，卡巴在世界密码日（5 月 7 日，斯基试亿每年 5 月的单张第一个周四）之际，卡巴斯基发布最新报告，条密在单张英伟达 RTX 5090 显卡配置环境下，内攻测试 2.31 亿个密码，卡巴发现 60% 的斯基试亿密码能在 1 小时内被攻破。

卡巴斯基研究团队选取暗网上泄露的单张 2.31 亿条不同密码样本，用 MD5 生成哈希，条密再用 1 张 GeForce RTX 5090 显卡测试破解能力。内攻

测试结果显示，在 1 小时内，斯基试亿可以破解 60% 的单张密码，而 2 年前这一比例是条密 59%。虽然从数值上来看，内攻1% 增量并不多，但是放大到 2.31 亿条样本里，意味着又有数百万条密码落入“几乎挡不住”的区间。

IT之家注：MD5 是一种早期广泛使用的哈希算法，可把任意长度的数据转换成固定长度摘要。它的特点是计算很快，过去常用于文件完整性校验、数据去重等场景。

问题在于，密码存储并不需要“快”，反而需要“慢”。因为一旦数据库泄露，攻击者就能借助 GPU 高速枚举候选密码，反复计算哈希并比对结果。常见误区是把 MD5 当成“加密”，其实它不是可逆加密，而是单向哈希；但“不可逆”不等于“安全”，若算法过快、碰撞问题明显，仍不适合保存密码。

理论上，即便数据库泄露，攻击者也只能靠穷举猜测原文。但 MD5 计算开销极低，攻击者能以每秒测试数十亿个候选密码，因此可以被暴力破解。

卡巴斯基还指出，密码长度依旧是强度的关键因素，但很多用户创建密码时，习惯沿用“123456”这类简单模式。

相比之下，bcrypt 和 Argon2 这类专为密码存储设计的哈希方案更慢，也更“贵”。为了拖慢暴力破解，它们会故意提高每次计算成本，从而拉长攻击时间，进而抬高硬件投入。

卡巴斯基建议行业停用 MD5，改用 bcrypt 或 Argon2，同时开启多因素认证，并在支持的场景下尽量改用 Passkey。

参考