Предложен е метод за определяне на колизии в SHA-1, подходящ за атака върху PGP

Изследователите от френския държавен институт за изследвания в информатиката и автоматиката (INRIA) и Нанянския технологичен университет (Сингапур) представиха метод на атака Шамболи (PDF), който се представя като първа практическа реализация на атака върху алгоритъма SHA-1, която може да се използва за създаване на фалшиви цифрови подписи PGP и GnuPG. Изследователите смятат, че сега всички практически атаки срещу MD5 могат да се прилагат и за SHA-1, въпреки че все още изискват значителни ресурси за осъществяване.

Методът е базиран на провеждането на колизионна атака с определен префикс, която позволява за два произволни набора данни да се подберат допълнения, при прикрепянето на които на изхода ще се получат колизионни набори, при прилагането на алгоритъма SHA-1, което води до формирането на един и същ резултантен хеш. С други думи, за два съществуващи документа могат да се изчислят две допълнения, и ако едното се присъедини към първия документ, а другото към втория — резултатните хешове SHA-1 за тези файлове ще бъдат еднакви.

Новият метод се отличава от предлаганите по-рано подобни техники с повишаване на ефективността на търсенето на колизии и демонстрация на практическо приложение за атака върху PGP. В конкретност, изследователите успяха да подготвят два открити PGP-ключа с различен размер (RSA-8192 и RSA-6144) с различаващи се идентификатори на потребителя и с удостоверения, които предизвикват колизия SHA-1. Първият ключ включваше идентификатор на жертвата, а вторият ключ включваше име и изображение на атакуващия. При това благодарение на подбора на колизия, идентифициращият ключов сертификат, включващ ключа и изображението на атакуващия, имаше същия SHA-1 хеш, какъвто и удостоверителният сертификат, включващ ключа и името на жертвата.

Атакуващият може да поиска цифрова подписка за своя ключ и изображение в външен удостоверяващ център, след което да прехвърли цифровата подписка за ключа на жертвата. Цифровата подписка остава валидна заради колизията и заверката на ключа на атакуващия от удостоверяващия център, което позволява на атакуващия да получи контрол и върху ключа с името на жертвата (тъй като SHA-1 хешът за двата ключа съвпада). В крайна сметка атакуващият може да се представи за жертвата и да подпише какъвто и да е документ от нейно име.

Атаката все още остава доста скъпа, но вече е напълно по силите на разузнавателните служби и големите корпорации. За простото намиране на колизии при използването на по-евтиния GPU NVIDIA GTX 970 разходите възлизат на 11 хиляди долара, а за намиране на колизии с определен префикс — 45 хиляди долара (за сравнение, през 2012 година разходите за намиране на колизии в SHA-1 се оценяваха на 2 милиона долара, а през 2015 година — на 700 хиляди долара). За извършването на практическа атака срещу PGP бяха необходими два месеца изчисления с включването на 900 GPU NVIDIA GTX 1060, наемът на които струваше на изследователите 75 хиляди долара.

Предложеният от изследователите метод за откриване на колизии е приблизително 10 пъти по-ефективен от предишните достижения — нивото на сложност на изчисленията за колизии успя да бъде сведено до 261.2 операции, вместо 264.7, а колизиите с определен префикс до 263.4 операции вместо 267.1. Изследователите препоръчват възможно най-скоро да се премине от SHA-1 към използването на SHA-256 или SHA-3, тъй като според техните прогнози до 2025 година цената за провеждане на атака ще падне до 10 хиляди долара.

Разработчиците на GnuPG бяха уведомени за проблема на 1 октомври (CVE-2019-14855) и на 25 ноември, в изданието GnuPG 2.2.18, предприеха мерки за блокиране на проблемните сертификати — всички цифрови идентифициращи подписи SHA-1, създадени след 19 януари миналата година, вече се считат за неправилни. В CAcert, един от основните удостоверяващи центрове за PGP ключове, планират преход към използването на по-сигурни хеш-функции за сертификация на ключове. Разработчиците на OpenSSL, в отговор на информацията за новия метод на атака, решиха да деактивират SHA-1 на предложеното по подразбиране първо ниво на сигурност (SHA-1 няма да може да се използва за сертификати и цифрови подписи в процеса на договаряне на връзките).

Източник: opennet.ru