Forscher des französischen staatlichen Instituts für Informatik und Automatisierung (INRIA) und der Nanyang Technological University (Singapur) haben eine Angriffsmethode vorgestellt (), die als erste praktische Umsetzung eines Angriffs auf den SHA-1-Algorithmus präsentiert wird, der zur Erstellung fiktiver digitaler Signaturen für PGP und GnuPG verwendet werden kann. Die Forscher sind der Meinung, dass nun alle praktischen Angriffe auf MD5 auch gegen SHA-1 anwendbar sind, obwohl sie weiterhin erhebliche Ressourcen für die Durchführung erfordern.
Die Methode basiert auf der Durchführung , mit der es möglich ist, für zwei beliebige Datensätze Ergänzungen zu finden, die bei ihrer Anfügung zu kollidierenden Sätzen führen, wobei die Anwendung des SHA-1-Algorithmus dazu führt, dass der gleiche resultierende Hash erzeugt wird. Mit anderen Worten, für zwei bestehende Dokumente können zwei Ergänzungen berechnet werden, und wenn eine an das erste Dokument und die andere an das zweite angefügt wird, sind die resultierenden SHA-1-Hashes für diese Dateien identisch.
Die neue Methode unterscheidet sich von zuvor vorgeschlagenen ähnlichen Techniken durch eine höhere Effizienz bei der Suche nach Kollisionen und der Demonstration einer praktischen Anwendung für den Angriff auf PGP. Insbesondere konnten die Forscher zwei öffentliche PGP-Schlüssel unterschiedlicher Größe (RSA-8192 und RSA-6144) mit unterschiedlichen Benutzer-IDs und Zertifikaten erstellen, die eine SHA-1-Kollision erzeugen. enthielt die Identifikation des Opfers, während den Namen und das Bild des Angreifers enthielt. Dabei hatte das durch die Kollision identifizierte Zertifikat, das den Schlüssel und das Bild des Angreifers enthielt, den gleichen SHA-1-Hash wie das Identifikationszertifikat, das den Schlüssel und den Namen des Opfers beinhaltete.
Der Angreifer konnte eine digitale Signatur für seinen Schlüssel und sein Bild bei einer externen Zertifizierungsstelle anfordern und die digitale Signatur dann auf den Schlüssel des Opfers übertragen. Die digitale Signatur bleibt aufgrund der Kollision und der Bestätigung des Schlüssels des Angreifers durch die Zertifizierungsstelle gültig, was es dem Angreifer ermöglicht, auch die Kontrolle über den Schlüssel mit dem Namen des Opfers zu übernehmen (da der SHA-1-Hash für beide Schlüssel übereinstimmt). Letztendlich kann der Angreifer sich als Opfer ausgeben und jedes Dokument in dessen Namen unterschreiben.
Der Angriff bleibt bisher ziemlich kostspielig, ist jedoch bereits für Geheimdienste und große Unternehmen erschwinglich. Für die einfache Kollisionsermittlung mit einer günstigeren NVIDIA GTX 970 GPU beliefen sich die Kosten auf 11.000 Dollar, und für die Kollisionsermittlung mit einem bestimmten Präfix auf 45.000 Dollar (zum Vergleich: 2012 wurden die Kosten für Kollisionsermittlungen in SHA-1 auf 2 Millionen Dollar geschätzt, und 2015 auf 700.000 Dollar). Um einen praktischen Angriff auf PGP durchzuführen, waren zwei Monate Berechnungen mit 900 NVIDIA GTX 1060 GPUs erforderlich, deren Miete die Forscher 75.000 Dollar gekostet hat.
Die von den Forschern vorgeschlagene Methode zur Entdeckung von Kollisionen ist etwa zehn Mal effizienter als frühere Errungenschaften – der Schwierigkeitsgrad der Kollisionsermittlungen konnte auf 261,2 Operationen gesenkt werden, anstelle von 264,7, und Kollisionen mit einem bestimmten Präfix auf 263,4 Operationen statt 267,1. Die Forscher empfehlen, so schnell wie möglich von SHA-1 auf die Verwendung von SHA-256 oder SHA-3 umzusteigen, da sie prognostizieren, dass die Kosten für einen Angriff im Jahr 2025 auf 10.000 Dollar sinken werden.
Die Entwickler von GnuPG wurden am 1. Oktober (CVE-2019-14855) über das Problem informiert und haben am 25. November im Release von GnuPG 2.2.18 Maßnahmen ergriffen, um problematische Zertifikate zu blockieren – alle digitalen Identifikationssignaturen in SHA-1, die nach dem 19. Januar des letzten Jahres erstellt wurden, gelten nun als ungültig. Bei CAcert, einem der Hauptzertifizierungsstellen für PGP-Schlüssel, plant man, sicherere Hash-Funktionen zur Zertifizierung von Schlüsseln zu verwenden. Die Entwickler von OpenSSL haben als Reaktion auf Informationen über die neue Angriffsmethode beschlossen, SHA-1 auf der standardmäßig vorgeschlagenen ersten Sicherheitsebene zu deaktivieren (SHA-1 kann nicht mehr für Zertifikate und digitale Signaturen im Verhandlungsprozess verwendet werden).
Quelle: opennet.ru
