Forscher des französischen Forschungsinstituts für Informatik und Automatisierung (INRIA) und der Nanyang Technological University (Singapur) haben eine Angriffsmethode vorgestellt. (), die als die erste praktische Implementierung eines Angriffs auf den SHA-1-Algorithmus präsentiert wird, die zur Erstellung gefälschter digitaler Signaturen für PGP und GnuPG eingesetzt werden kann. Die Forscher sind der Meinung, dass nun alle praktischen Angriffe auf MD5 auch gegen SHA-1 anwendbar sind, obwohl sie nach wie vor erhebliche Ressourcen für die Durchführung erfordern.
Die Methode basiert auf der Durchführung von , die es ermöglicht, für zwei beliebige Datensätze Ergänzungen zu finden, deren Anfügung zu Kollisionen führt, wobei die Anwendung des SHA-1-Algorithmus zu denselben resultierenden Hashwerten führt. Mit anderen Worten, für zwei bestehende Dokumente können zwei Ergänzungen berechnet werden, und wenn eine Ergänzung zum ersten Dokument und die andere zum zweiten Dokument hinzugefügt wird, sind die resultierenden SHA-1-Hashes dieser Dateien identisch.
Die neue Methode unterscheidet sich von zuvor vorgeschlagenen ähnlichen Techniken durch eine höhere Effizienz bei der Kollisionssuche und demonstriert die praktische Anwendbarkeit für einen Angriff auf PGP. Insbesondere gelang es den Forschern, zwei öffentliche PGP-Schlüssel unterschiedlicher Größe (RSA-8192 und RSA-6144) mit verschiedenen Benutzernamen und Zertifikaten, die Kollisionen bei SHA-1 verursachen, zu erstellen. enthielt die Identifikation des Opfers, während Der Angreifer fügte den Namen und das Bild des Opfers ein. Dank der Kollision hatten die identifizierenden Schlüssel des Zertifikats, das den Schlüssel und das Bild des Angreifers enthielt, denselben SHA-1-Hash wie das Identifikationszertifikat, das den Schlüssel und den Namen des Opfers beinhaltete.
Der Angreifer konnte eine digitale Signatur für seinen Schlüssel und sein Bild von einer externen Zertifizierungsstelle anfordern und anschließend die digitale Signatur auf den Schlüssel des Opfers übertragen. Die digitale Signatur bleibt aufgrund der Kollision und der Validierung des Schlüssels durch die Zertifizierungsstelle korrekt, was es dem Angreifer ermöglicht, die Kontrolle über den Schlüssel mit dem Namen des Opfers zu erlangen (da der SHA-1-Hash für beide Schlüssel übereinstimmt). Letztendlich kann der Angreifer sich als Opfer ausgeben und jedes Dokument in deren Namen unterschreiben.
Ein Angriff bleibt zwar teuer, ist jedoch bereits für Geheimdienste und große Unternehmen erschwinglich. Die Kosten für den einfachen Zusammenstoß unter Verwendung einer günstigeren NVIDIA GTX 970 GPU betrugen 11.000 Dollar, während die Kosten für einen Zusammenstoß mit einem vorgegebenen Präfix 45.000 Dollar ausmachten (zum Vergleich: 2012 wurden die Kosten für einen Zusammenstoß in SHA-1 auf 2 Millionen Dollar geschätzt, und 2015 auf 700.000 Dollar). Um einen praktischen Angriff auf PGP durchzuführen, benötigten die Forscher zwei Monate an Berechnungen unter Einbeziehung von 900 NVIDIA GTX 1060 GPUs, deren Miete 75.000 Dollar kostete.
Die von den Forschern vorgeschlagene Methode zur Entdeckung von Kollisionen ist ungefähr zehnmal effektiver als frühere Errungenschaften – die Komplexität der Berechnungen konnte auf 261,2 Operationen gesenkt werden, im Vergleich zu 264,7, während Kollisionen mit einem vorgegebenen Präfix auf 263,4 Operationen, statt 267,1, reduziert wurden. Die Forscher empfehlen, so schnell wie möglich von SHA-1 auf SHA-256 oder SHA-3 umzusteigen, da sie prognostizieren, dass die Kosten für einen Angriff im Jahr 2025 auf 10.000 Dollar sinken werden.
Die Entwickler von GnuPG wurden am 1. Oktober (CVE-2019-14855) über das Problem informiert und haben am 25. November mit der Veröffentlichung von GnuPG 2.2.18 Maßnahmen ergriffen, um die problematischen Zertifikate zu sperren – alle digitalen Identifikationssignaturen SHA-1, die nach dem 19. Januar des letzten Jahres erstellt wurden, werden jetzt als ungültig anerkannt. CAcert, eine der wichtigsten Zertifizierungsstellen für PGP-Schlüssel, plant die Umstellung auf sichere Hash-Funktionen zur Zertifizierung von Schlüsseln. Die Entwickler von OpenSSL haben als Reaktion auf Informationen über die neue Angriffsmethode entschieden, SHA-1 in der standardmäßig vorgeschlagenen ersten Sicherheitsstufe zu deaktivieren (SHA-1 kann nicht mehr für Zertifikate und digitale Signaturen im Verbindungsaufbau verwendet werden).
Quelle: opennet.ru
