終於攻破大門了! 研究人員發表可行的 SHA-1 破解法

SHA-1 的安全程度在多年前已受到挑戰,現在更岌岌可危,因為有專家已經成功以碰撞攻擊,把兩個不同的 PDF 文件轉換成相同的雜湊(hash)。

SHA-1 的安全程度在多年前已受到挑戰,現在更岌岌可危,因為有專家已經成功以碰撞攻擊,把兩個不同的 PDF 文件轉換成相同的雜湊(hash)。

 

荷蘭 CWI 和 Google 的研究人員日前發表論文,稱已找到實用的碰撞攻擊(collision)破解 SHA-1。所謂碰撞攻擊,即是兩分不同的文件能夠轉換成相同的雜湊(hash)。由於不法分子有機會用惡意文件產生與相同正常文件相同的雜湊,使用 SHA-1 作數碼簽證和文件辨析的項目,如數碼證書簽證、電郵 PGP/ GPG 簽署、GIT 等均有機會受到攻擊。

理論上 SHA-1 可被暴力破解,但組合繁多根本不可行。因此 2005 年有研究人員發表「碰撞攻擊」,能減少計算組合,不過依然難以實際應用。直到現在研究人員成功以不同文件製作相同的雜湊,故他們稱之為「實際」的碰撞攻擊。他們已上載兩分相同的 hash 而內容不同的 PDF 檔案來證明概念。

按照 Google 政策,程式碼會在 90 日後公布,因此業界有三個月時間改用其他安全方法。研究人員期望,研究成果能說服務業界轉用 SHA-256 等更安全的雜湊方法。

Source : SHAttered