Предложен е метод за определяне на колизии в SHA-1, подходящ за атака на PGP

Изследователи от френския държавен института за изследвания в компютърните науки и автоматизация (INRIA) и Нанянгския технологичен университет (Сингапур) представиха метод на атака Срамота (PDF), който се представя като първата практическа реализация на атака срещу алгоритъма SHA-1, която може да се използва за създаване на фалшиви цифрови подписи PGP и GnuPG. Изследователите смятат, че вече всички практически атаки срещу MD5 могат да се прилагат и за SHA-1, въпреки че все още изискват значителни ресурси за извършване.

Методът е основан на провеждане на колизионна атака с зададен префикс, позволяваща за два произволни набора данни да се подберат добавки, при прикрепяне на които на изхода ще получим колизионни набори, приложението на алгоритъма SHA-1 за които ще доведе до генерирането на един и същ резултатен хеш. С други думи, за два съществуващи документа може да се изчислят две добавки, и ако едната бъде присъединена към първия документ, а другата към втория — резултатните хешове SHA-1 за тези файлове ще бъдат еднакви.

Новият метод се отличава от предлаганите по-рано подобни техники с повишаване на ефективността на търсене на колизия и демонстрация на практическо приложение за атака срещу PGP. В частност, изследователите успяха да подготвят два отворени PGP ключа с различен размер (RSA-8192 и RSA-6144) с разлики в идентификаторите на потребителите и с сертификати, предизвикващи колизия на SHA-1. Първият ключ включваше идентификатор на жертвата, а вторият ключ включваше име и изображение на атакуващия. При това, благодарение на подбора на колизия, идентифициращият ключов сертификат, включващ ключа и изображението на атакуващия, имаше същия SHA-1 хеш, като идентификационния сертификат, включващ ключа и името на жертвата.

Атакуващият можеше да поиска цифрова подписка за своя ключ и изображение в трета страна удостоверяващ център, след което да прехвърли цифровата подписка за ключа на жертвата. Цифровата подписка остава валидна поради колизията и удостоверяването на ключа на атакуващия от удостоверяващия център, което позволява на атакуващия да получи контрол и над ключа с името на жертвата (тъй като SHA-1 хешът за двата ключа е съвпадащ). В резултат на това атакуващият може да се представи за жертвата и да подпише всеки документ от нейно име.

Атаката остава значително скъпа, но вече е в достъпността на специализирани служби и големи корпорации. За обикновено генериране на колизии с използването на по-евтино GPU NVIDIA GTX 970 разходите достигнаха 11 хиляди долара, а за генериране на колизии с зададен префикс — 45 хиляди долара (за сравнение, през 2012 година разходите за генериране на колизия в SHA-1 бяха оценявани на 2 милиона долара, а през 2015 година — 700 хиляди). За да се осъществи практическа атака на PGP, бяха необходими два месеца изчисления с 900 GPU NVIDIA GTX 1060, наемът на които струваше на изследователите 75 хиляди долара.

Предложеният от изследователите метод за откриване на колизии е приблизително 10 пъти по-ефективен от предходните постижения — нивото на сложност за изчисление на колизия е свалено до 261.2 операции, вместо 264.7, а колизиите с зададен префикс до 263.4 операции вместо 267.1. Изследователите препоръчват възможно най-скоро да се премине от SHA-1 към използването на SHA-256 или SHA-3, тъй като по техните прогнози през 2025 година разходите за извършване на атака ще спаднат до 10 хиляди долара.

Разработчиците на GnuPG бяха уведомени за проблема на 1 октомври (CVE-2019-14855) и на 25 ноември в изданието GnuPG 2.2.18 предприеха мерки за блокиране на проблемните сертификати — всички цифрови идентифицирующие подписи SHA-1, създадени след 19 януари миналата година, вече се считат за невалидни. В CAcert, един от основните удостоверяващи центрове за ключове PGP, планират да преминат към прилагане на по-безопасни хеш-функции за сертификация на ключове. Разработчиците на OpenSSL в отговор на информацията за новия метод на атака решиха да деактивират SHA-1 в предложеното по подразбиране първо ниво на сигурност (SHA-1 няма да може да се използва за сертификати и цифрови подписи в процеса на договаряне на съединения).

Източник: opennet.ru