I ricercatori dell'istituto francese di ricerca in informatica e automazione (INRIA) e della Nanyang Technological University (Singapore) hanno presentato un metodo di attacco (), che si presenta come la prima implementazione pratica di un attacco all'algoritmo SHA-1, utilizzabile per creare firme digitali false PGP e GnuPG. I ricercatori ritengono che ora tutti gli attacchi pratici su MD5 possano essere applicati anche a SHA-1, anche se al momento richiedono ancora risorse significative per essere attuati.
Il metodo si basa sull'esecuzione di , che consente di trovare estensioni per due set di dati arbitrari, in modo tale che, una volta allegati, si ottengano set che producono collisioni; l'applicazione dell'algoritmo SHA-1 porterà alla generazione dello stesso hash risultante. In altre parole, per due documenti esistenti, è possibile calcolare due estensioni e se si allega una estensione al primo documento e l'altra al secondo, gli hash SHA-1 risultanti per questi file saranno identici.
Il nuovo metodo si distingue dalle tecniche simili precedentemente proposte per l'aumento dell'efficienza nella ricerca delle collisioni e per la dimostrazione di applicazioni pratiche nell'attacco a PGP. In particolare, i ricercatori sono stati in grado di preparare due chiavi PGP aperte di dimensioni diverse (RSA-8192 e RSA-6144) con identificatori utente differenti e con certificati che causano collisioni SHA-1. inclusiva dell'identificatore della vittima, mentre includeva il nome e l'immagine dell'attaccante. Grazie alla ricerca della collisione, il certificato identificativo contenente la chiave e l'immagine dell'attaccante aveva lo stesso hash SHA-1 del certificato identificativo contenente la chiave e il nome della vittima.
L'attaccante potrebbe richiedere una firma digitale per la sua chiave e l'immagine in un'entità di certificazione esterna, per poi trasferire la firma digitale sulla chiave della vittima. La firma digitale rimane valida a causa della collisione e della certificazione della chiave dell'attaccante da parte dell'entità di certificazione, consentendo all'attaccante di controllare anche la chiave nominativa della vittima (poiché l'hash SHA-1 per entrambe le chiavi coincide). Di conseguenza, l'attaccante può spacciarsi per la vittima e firmare qualsiasi documento a suo nome.
L'attacco resta al momento piuttosto costoso, ma già alla portata di agenzie governative e grandi corporazioni. Per la semplice generazione di collisioni utilizzando una GPU NVIDIA GTX 970 più economica, i costi si sono attestati a 11.000 dollari, mentre per la generazione di collisioni con un prefisso specifico sono stati di 45.000 dollari (a titolo di confronto, nel 2012 i costi per generare collisioni in SHA-1 erano stimati in 2 milioni di dollari, mentre nel 2015 erano di 700.000). Per condurre un attacco pratico su PGP sono stati necessari due mesi di calcoli con 900 GPU NVIDIA GTX 1060, il cui noleggio è costato ai ricercatori 75.000 dollari.
Il metodo di rilevamento delle collisioni proposto dai ricercatori è circa dieci volte più efficace rispetto ai risultati precedenti: il livello di complessità per il calcolo delle collisioni è stato ridotto a 261,2 operazioni, anziché 264,7, e le collisioni con un prefisso specificato a 263,4 operazioni invece di 267,1. I ricercatori raccomandano di passare il prima possibile da SHA-1 all'uso di SHA-256 o SHA-3, poiché prevedono che nel 2025 il costo per eseguire un attacco si ridurrà a 10.000 dollari.
Gli sviluppatori di GnuPG sono stati informati del problema l'1 ottobre (CVE-2019-14855) e hanno intrapreso misure per bloccare i certificati problematici nel rilascio di GnuPG 2.2.18 il 25 novembre: tutte le firme digitali identificative SHA-1 create dopo il 19 gennaio dello scorso anno ora sono considerate non valide. CAcert, uno dei principali centri di certificazione per le chiavi PGP, prevede di passare all'uso di funzioni hash più sicure per la certificazione delle chiavi. In risposta alle informazioni su un nuovo metodo d'attacco, gli sviluppatori di OpenSSL hanno deciso di disabilitare SHA-1 nel primo livello di sicurezza proposto di default (SHA-1 non potrà essere utilizzato per certificati e firme digitali durante la negoziazione delle connessioni).
Fonte: opennet.ru
