SHA-1 的安全程度在多年前已受到挑戰，現在更岌岌可危，因為有專家已經成功以碰撞攻擊，把兩個不同的 PDF 文件轉換成相同的雜湊（hash）。
荷蘭 CWI 和 Google 的研究人員日前發表論文，稱已找到實用的碰撞攻擊（collision）破解 SHA-1。所謂碰撞攻擊，即是兩分不同的文件能夠轉換成相同的雜湊（hash）。由於不法分子有機會用惡意文件產生與相同正常文件相同的雜湊，使用 SHA-1 作數碼簽證和文件辨析的項目，如數碼證書簽證、電郵 PGP/ GPG 簽署、GIT 等均有機會受到攻擊。
理論上 SHA-1 可被暴力破解，但組合繁多根本不可行。因此 2005 年有研究人員發表「碰撞攻擊」，能減少計算組合，不過依然難以實際應用。直到現在研究人員成功以不同文件製作相同的雜湊，故他們稱之為「實際」的碰撞攻擊。他們已上載兩分相同的 hash 而內容不同的 PDF 檔案來證明概念。
按照 Google 政策，程式碼會在 90 日後公布，因此業界有三個月時間改用其他安全方法。研究人員期望，研究成果能說服務業界轉用 SHA-256 等更安全的雜湊方法。
Source : SHAttered