Forskere fra det franske nationale institutt for forskning i datalogi og automatisering (INRIA) og Nanyang Tekniske Universitet (Singapore) har præsenteret en angrebsmetode (), der præsenteres som den første praktiske implementering af et angreb på SHA-1 algoritmen, som kan bruges til at skabe falske digitale signaturer for PGP og GnuPG. Forskere mener, at alle praktiske angreb på MD5 nu kan anvendes på SHA-1, selvom de stadig kræver betydelige ressourcer for at blive udført.
Metoden er baseret på gennemførelsen af , som gør det muligt at finde to vilkårlige datasæt, hvor vedhæftede tilføjelser vil skabe kolliderende sæt, der anvender SHA-1 algoritmen til at generere den samme resulterende hash. Med andre ord, for to eksisterende dokumenter kan der beregnes to tilføjelser, og hvis den ene tilføjes til det første dokument, og den anden til det andet - vil de resulterende SHA-1 hashes for disse filer være ens.
Den nye metode adskiller sig fra tidligere foreslåede lignende teknikker ved at øge effektiviteten af søgningen efter kollisioner og demonstrere praktisk anvendelse i et angreb på PGP. Specifikt lykkedes det forskerne at forberede to åbne PGP-nøgler af forskellige størrelser (RSA-8192 og RSA-6144) med forskellige bruger-id'er og certifikater, der forårsager SHA-1 kollisioner. inkluderede identifikatoren for offeret, og inkluderede angriberens navn og billede. Takket være kollisionen havde certifikatet med den identificerende nøgle, der indeholdt angriberens nøgle og billede, den samme SHA-1 hash som identifikationscertifikatet, der indeholdt nøgle og offerets navn.
Angriberen kunne anmode om en digital signatur for sin nøgle og billede fra et eksternt certifikatcenter, hvorefter den digitale signatur kunne overføres til offerets nøgle. Den digitale signatur forbliver gyldig på grund af kollisionen og valideringen af angriberens nøgle af certifikatcentret, hvilket giver angriberen kontrol over nøgle med offerets navn (da SHA-1 hashen for begge nøgler er identisk). I sidste ende kan angriberen udgive sig for at være offeret og underskrive ethvert dokument på dens vegne.
Angrebet forbliver ret kostbart, men er nu helt inden for rækkevidde for efterretningstjenester og store virksomheder. For en simpel sammenligning af kollisioner ved brug af det billigere NVIDIA GTX 970 GPU, var omkostningerne 11.000 dollars, mens omkostningerne for at finde en kollision med et givet præfiks var 45.000 dollars (til sammenligning blev omkostningerne til at finde kollisioner i SHA-1 vurderet til 2 millioner dollars i 2012, og i 2015 var det 700.000). For at udføre et praktisk angreb på PGP krævede det to måneders beregninger med hjælp fra 900 NVIDIA GTX 1060 GPU'er, hvis leje kostede forskerne 75.000 dollars.
Den metode til opdagelse af kollisioner, der er foreslået af forskerne, er ca. 10 gange mere effektiv end tidligere resultater - kompleksiteten af kollisioner er blevet reduceret til 261,2 operationer i stedet for 264,7, og kollisioner med et givet præfiks er reduceret til 263,4 operationer i stedet for 267,1. Forskere anbefaler at skifte fra SHA-1 til SHA-256 eller SHA-3 så hurtigt som muligt, da de forudser, at omkostningerne ved at udføre et angreb i 2025 vil falde til 10.000 dollars.
Udviklerne af GnuPG blev informeret om problemet den 1. oktober (CVE-2019-14855), og den 25. november i udgivelsen af GnuPG 2.2.18 tog de skridt til at blokere de problematiske certifikater - alle digitale identificerende underskrifter SHA-1, der er oprettet efter den 19. januar sidste år, anerkendes nu som invalide. I CAcert, et af de førende certifikatcentre for PGP-nøgler, planlægger man at overgå til brugen af mere sikre hash-funktioner til certificering af nøgler. I respons på oplysninger om den nye angrebsmetode har udviklerne af OpenSSL besluttet at deaktivere SHA-1 i det anbefalede standard første sikkerhedsniveau (SHA-1 vil ikke kunne anvendes til certifikater og digitale underskrifter under forhandling af forbindelser).
Kilde: opennet.ru
