21/05/2026
🔐 Bạn đang bảo vệ mật khẩu người dùng bằng MD5?
Vậy thì xin nói thẳng — bạn đang không bảo vệ gì cả, bạn chỉ đang tạo ra ảo giác an toàn, và điều đó còn nguy hiểm hơn là không có gì.
MD5 sinh năm 1991, cùng thời đĩa mềm và máy fax. Thế giới đã thay đổi hoàn toàn, nhưng kỳ lạ thay, thuật toán này vẫn đang chạy trong hàng triệu hệ thống và vẫn được gọi là "bảo mật". Vấn đề cốt lõi của nó nằm ở chính thứ tưởng là ưu điểm — tốc độ.
⚡ Nhanh đến mức một chiếc laptop bình thường có thể thử hàng tỷ tổ hợp mật khẩu mỗi giây, không cần hacker chuyên nghiệp, không cần siêu máy tính, chỉ cần một tool miễn phí và đủ kiên nhẫn uống xong tách cà phê. Thêm vào đó, MD5
❌ không có Salt khiến cùng một mật khẩu luôn cho ra cùng một hash — bẻ một lần là hiểu tất cả,
❌ không hỗ trợ xác thực hai chiều khiến server gần như tin mù client, và
❌ đã bị chứng minh có thể tạo collision — tức hai dữ liệu khác nhau nhưng cùng một hash — thứ không bao giờ được phép xảy ra trong bảo mật.
SCRAM-SHA-256 không phải là "MD5 phiên bản mới hơn" — đây là một triết lý hoàn toàn khác. Hệ thống
✅ không bao giờ lưu mật khẩu gốc, kể cả admin cũng không đọc được vì nó đơn giản là không tồn tại dưới dạng đó. Mỗi lần đăng nhập là một cuộc thách thức thực sự
✅ client chứng minh mình biết mật khẩu mà không cần tiết lộ nó
✅ Salt ngẫu nhiên đảm bảo một triệu người dùng cùng đặt "123456" vẫn cho ra một triệu hash khác nhau, và
✅ Iteration lặp băm hàng nghìn lần biến brute force từ "vài giây" thành công việc của hàng thế kỷ. Không ngạc nhiên khi MySQL, PostgreSQL, MongoDB và mọi hệ thống doanh nghiệp nghiêm túc đều đang dùng nó.
Câu hỏi không phải là "cái nào tốt hơn?" — điều đó đã quá rõ. Câu hỏi là: ngay lúc này, bạn có biết chắc hệ thống mình đang hash mật khẩu bằng gì không?
Nếu câu trả lời là "không chắc" thì đó là thứ cần kiểm tra trước mọi thứ khác vì khi data leak xảy ra, không có bản vá hồi tố, không có nút hoàn tác, và không có lời xin lỗi nào đủ để lấy lại niềm tin người dùng đã đặt vào tay bạn.
MD5 đã lỗi thời và không còn phù hợp cho bảo mật hiện đại.
SCRAM-SHA-256 là lựa chọn tối ưu — không phải vì nó mới, mà vì nó đúng.
Bạn đang dùng phương thức bảo mật nào cho hệ thống của mình? Drop xuống comment — mình sẵn sàng cùng bạn review. 👇