O MD5, falando numa linguagem popular, é um hash de via única.
Não há informação para reverter o hash para o valor original.
Há alguns anos, diversos websites oferecem soluções para "reverter" o hash e isso causa uma certa confusão pois quem não entende do assunto acaba por acreditar que o MD5 é reversível. O que esses sites oferecem é o chamado rainbow table. A técnica consiste na mesma lógica de um "brute force".
As rainbow tables são apenas base de dados contendo strings e seus respectivos valores em MD5.
Esse esquema funciona somente para hashes sem "salto".
A lógica é simples. Um script gera automaticamente, num "loop infinito", todos os tipos de combinações de caracteres possível. Dentro desse laço de repetição, é também gerado o hash MD5 dessa combinação e salvo num banco de dados, o qual possui um pseudônimo conhecido como "rainbow table".
Atualmente, diversos sites garantem possuir combinações de 5 caracteres completos e quase completando 6 caracteres.
Para entender melhor, veja um exemplo da lógica envolvida:
Combinações de caracteres de tamanho 1 e seu respectivo MD5
a -> 0cc175b9c0f1b6a831c399e269772661
b -> 92eb5ffee6ae2fec3ad71c777531578f
c -> 4a8a08f09d37b73795649038408b5f33
E assim vai seguindo até gerar o MD5 de todo tipo de caracter, inclusive números e caracteres multibyte
あ -> 8c0c3027e3cfc3d644caab3847a505b0
い -> 655dcb0e6519c34baf6d9d53e1932389
う -> 31e55ff7f86aaee740277059a9983d89
□ -> 8c8586b6fb99a8815eeec4ea97e6222d
Parece fácil gerar os hashes, porém, é preciso criar as combinações.
Aqui temos um exemplo de tamanho 2:
ab -> 187ef4436122d1cc2f40dc2b92f0eba0
ac -> e2075474294983e013ee4dd2201c7a73
ba -> 07159c47ee1b19ae4fb9c40d480856c4
bc -> 5360af35bde9ebd8f01f492dc059593c
ca -> 5435c69ed3bcc5b2e4d580e393e373d3
cb -> d0d7fdb6977b26929fb68c6083c0b439
Até aqui parece fácil, mas imagine 5 combinações. Quantas combinações possíveis existem em 5 casas?
abcde -> ab56b4d92b40713acc5af89985d4b786
acbde -> e0e56a95aff0ee48fc44e8a4faf69adb
adbce -> a44a7eb2135809f67ce273e0de8b52cb
Mesmo com tamanho 5, não parece difícil se lidarmos apenas com alfabeto romano e números, mas lembre-se que também deve-se incluir caracteres especiais/multibyte. Nesse ponto as combinações passam de trilhões de registros.
Como que esses sites retornam o valor de um hash?
Apenas consultando no banco dados.
select original from rainbowtable where hash = 'ab56b4d92b40713acc5af89985d4b786'
Isso retornaria "abcde", se estiver já previamente salvo no banco de dados.
Por isso, recomenda-se evitar senhas curtas, menores que 6 caracteres e também senhas contendo caracteres simples.
Exemplo de senha simples, onde, obviamente, sites de rainbow tables já possui seus hashes:
abc
111
123
abc123
senha
passord
user
admin
123456
111111
Quando criar uma senha, procure fazer, no mínimo, algo assim:
j&SCjV:Kd#A!6VN7x=eY
Misture caracteres especiais, letras maiúscula e minúscula, números. Por fim, quanto maior e mais complexo, menor a possibilidade de existir numa rainbow table ou ser quebrada por brute force.
Recuperação de senha
deveria ser possível recuperar esse MD5 no banco e mostrar "senha" de
volta num formulário de atualização de informações, não?
Um website que retorna a senha original para o usuário, é inseguro. Quando encontrar um site que faz isso, evite usá-lo caso possua informações importantes, principalmente transações financeiras.
Um website que consegue enxergar a senha digitada pelo usuário, fere normas de privacidade e segurança básica pois mesmo um administrador do servidor de hospedagem ou o programador do site podem ser maliciosos e obter as senhas dos usuários.
Um agravante nisso é que a maioria dos usuários usam uma mesma senha para tudo. Serviços de email, contas de redes sociais, até senha de cartão de crédito.
Ou seja, se conseguir a senha, terá o passaporte para quase todas ou todas as contas que esse usuário possui em serviços terceiros.
A mesma senha 1234, que é usada no facebook, também usa no cartão de crédito, no cartão de débito, email e diversos serviços. Infelizmente o usuário abre mão da própria segurança pela "praticidade".
(O termo *facebook é mero exemplo. Obviamente o facebook não permite uma senha dessas)
Nesse ponto vem a responsabilidade dos prestadores de serviços em obrigar o usuário a criar senhas complexas. A complexidade depende do modelo de negócios do serviço.
Observação final, também existe raibow tables de outros hashes como o sha1, des, crypt16, dentre outros.