Istraživači iz francuskog državnog instituta za istraživanje u informatici i automatizaciji (INRIA) i Nanyang Tehnološkog Sveučilišta (Singapur) predstavili su metodu napada (), koja se prikazuje kao prva praktična implementacija napada na SHA-1 algoritam, koju je moguće iskoristiti za stvaranje lažnih digitalnih potpisa PGP i GnuPG. Istraživači vjeruju da se sada svi praktični napadi na MD5 mogu primijeniti i na SHA-1, iako još uvijek zahtijevaju značajne resurse za izvršenje.
Metoda se temelji na provođenju , koja omogućava pronalaženje dopuna za dva proizvoljna skupa podataka, pri čemu će rezultirati kolizionim skupovima, a primjena SHA-1 algoritma dovest će do istog izlaznog heša. Drugim riječima, za dva postojeća dokumenta može se izračunati dvije dopune, i ako se jedna priloži prvom dokumentu, a druga drugom — rezultantni SHA-1 heševi za te datoteke bit će isti.
Nova metoda se razlikuje od ranije predloženih sličnih tehnika povećanjem učinkovitosti pretraživanja kolizije i demonstracijom praktične primjene za napad na PGP. Konkretno, istraživači su uspjeli pripremiti dva otvorena PGP-ključna para različitih veličina (RSA-8192 i RSA-6144) s različitim identifikatorima korisnika i certifikatima koji uzrokuju koliziju SHA-1. uključivao je identifikator žrtve, dok je uključivao ime i sliku napadača. Pri tome, zahvaljujući pronalaženju kolizije, identifikacijski certifikat koji uključuje ključ i sliku napadača imao je isti SHA-1 heš kao i identifikacijski certifikat koji uključuje ključ i ime žrtve.
Napadač je mogao zatražiti digitalni potpis za svoj ključ i sliku od vanjskog certifikacijskog tijela, nakon čega je mogao prenijeti digitalni potpis na ključ žrtve. Digitalni potpis ostaje valjan zbog kolizije i ovjeravanja ključa napadača od strane certifikacijskog tijela, što napadaču omogućava preuzimanje kontrole i nad ključem s imenom žrtve (budući da se SHA-1 heš za oba ključa poklapa). Na kraju, napadač se može predstavljati kao žrtva i potpisati bilo koji dokument u njezino ime.
Napad ostaje prilično skup, ali već je pristupačan za sigurnosne agencije i velike korporacije. Za jednostavno pronalaženje kolizije korištenjem jeftinijeg GPU-a NVIDIA GTX 970 troškovi su iznosili 11 tisuća dolara, a za pronalaženje kolizije s određenim prefiksom — 45 tisuća dolara (za usporedbu, 2012. godine troškovi pronalaženja kolizije u SHA-1 procijenjeni su na 2 milijuna dolara, a 2015. na 700 tisuća). Za izvršenje praktičnog napada na PGP bilo je potrebno dva mjeseca trošenja snage računanja uz pomoć 900 GPU-a NVIDIA GTX 1060, čija je najam istraživače koštao 75 tisuća dolara.
Predložena metoda otkrivanja kolizija od strane istraživača je otprilike deset puta učinkovitija od prethodnih dostignuća — razina složenosti izračuna kolizije smanjena je na 261.2 operacija, umjesto 264.7, a kolizije s određenim prefiksom na 263.4 operacija umjesto 267.1. Istraživači preporučuju što brži prelazak s SHA-1 na korištenje SHA-256 ili SHA-3, jer prema njihovim prognozama, do 2025. godine troškovi provođenja napada će pasti na 10 tisuća dolara.
Razvijači GnuPG-a obaviješteni su o problemu 1. listopada (CVE-2019-14855), a 25. studenog su u izdanju GnuPG 2.2.18 poduzeli mjere za blokiranje problematičnih certifikata — svi digitalni identifikacijski potpisi SHA-1 stvoreni nakon 19. siječnja prošle godine sada se smatraju neispravnim. U CAcert-u, jednom od glavnih certificirajućih centara za PGP ključeve, planiraju preći na korištenje sigurnijih hash funkcija za certifikaciju ključeva. Razvijači OpenSSL-a, u odgovoru na informacije o novoj metodi napada, odlučili su onemogućiti SHA-1 na predloženom osnovnom razini sigurnosti (SHA-1 se ne može koristiti za certifikate i digitalne potpise tijekom pregovaranja veze).
Izvor: opennet.ru
