md5 сломан, причем очень давно, учитывая возросшие вычислительные мощности, сейчас его практически онлайн можно расшифровывать.
sha1 уже практически сломан - в смысле была выполнена практическая атака по получению коллизии. Было это в начале 2017 года. Да, там понадобилось множество вычислений, ни хакеру ни в особенности какеру это пока не повторить, но ресурсы дешевеют постоянно.