הוצעה שיטה לזיהוי התנגשויות ב-SHA-1, המתאימה לתקיפת PGP

חוקרים מהמכון הממלכתי הצרפתי למחקר באינפורמטיקה ואוטומציה (INRIA) ומהאוניברסיטה הטכנולוגית נאניאנג (סינגפור) הציגו שיטת התקפה מלבלים (PDF), שמוצגת כיישום המעשי הראשון של מתקפה על אלגוריתם SHA-1 שניתן להשתמש בה כדי ליצור חתימות דיגיטליות מזויפות של PGP ו-GnuPG. החוקרים מאמינים כי כעת ניתן ליישם את כל ההתקפות המעשיות על MD5 על SHA-1, למרות שהן עדיין דורשות משאבים משמעותיים ליישום.

השיטה מבוססת על ביצוע מתקפת התנגשות עם קידומת נתונה, המאפשר לבחור תוספות עבור שני מערכי נתונים שרירותיים, כאשר מצורף, הפלט יפיק סטים שגורמים להתנגשות, שיישום האלגוריתם SHA-1 עבורו יוביל להיווצרות של אותו hash שנוצר. במילים אחרות, עבור שני מסמכים קיימים, ניתן לחשב שני משלים, ואם אחד מצורף למסמך הראשון והשני לשני, ה-hashs המתקבלים של SHA-1 עבור קבצים אלו יהיו זהים.

השיטה החדשה שונה מטכניקות דומות שהוצעו בעבר על ידי הגברת היעילות של חיפוש התנגשות והדגמת יישום מעשי לתקיפת PGP. בפרט, החוקרים הצליחו להכין שני מפתחות PGP ציבוריים בגדלים שונים (RSA-8192 ו-RSA-6144) עם מזהי משתמש שונים ועם אישורים הגורמים להתנגשות SHA-1. מפתח ראשון כלל את תעודת הזהות של הקורבן, ו מפתח שני כלל את שמו ותמונתו של התוקף. יתרה מכך, הודות לבחירת התנגשות, התעודה המזהה את המפתח, כולל המפתח ותמונת התוקף, הייתה בעלת אותו hash SHA-1 כמו תעודת הזיהוי, כולל המפתח והשם של הקורבן.

התוקף יכול לבקש חתימה דיגיטלית עבור המפתח והתמונה שלו מרשות אישורים של צד שלישי, ולאחר מכן להעביר את החתימה הדיגיטלית עבור המפתח של הקורבן. החתימה הדיגיטלית נשארת תקינה עקב התנגשות ואימות המפתח של התוקף על ידי רשות אישורים, מה שמאפשר לתוקף לקבל שליטה על המפתח עם שם הקורבן (שכן ה-Hash SHA-1 עבור שני המפתחות זהה). כתוצאה מכך, התוקף יכול להתחזות לקורבן ולחתום בשמה על כל מסמך.

המתקפה עדיין יקרה למדי, אבל כבר די משתלמת עבור שירותי מודיעין ותאגידים גדולים. עבור בחירת התנגשות פשוטה באמצעות NVIDIA GTX 970 GPU זול יותר, העלויות היו 11 אלף דולר, ולבחירת התנגשות עם קידומת נתונה - 45 אלף דולר (לשם השוואה, בשנת 2012 נאמדו העלויות עבור בחירת התנגשות ב-SHA-1 ב-2 מיליון דולר, ובשנת 2015 - 700 אלף). כדי לבצע מתקפה מעשית על PGP, נדרשו חודשיים של מחשוב באמצעות 900 GPUs NVIDIA GTX 1060, שהשכרתם עלתה לחוקרים 75 דולר.

שיטת זיהוי ההתנגשות המוצעת על ידי החוקרים יעילה פי 10 בערך מהישגים קודמים - רמת המורכבות של חישובי התנגשות הופחתה ל-261.2 פעולות, במקום 264.7, והתנגשויות עם קידומת נתונה ל-263.4 פעולות במקום 267.1. החוקרים ממליצים לעבור מ-SHA-1 לשימוש ב-SHA-256 או SHA-3 בהקדם האפשרי, מכיוון שהם צופים שעלות ההתקפה תרד ל-2025 דולר עד 10.

מפתחי GnuPG קיבלו הודעה על הבעיה ב-1 באוקטובר (CVE-2019-14855) ונקטו בפעולה לחסימת האישורים הבעייתיים ב-25 בנובמבר בשחרור של GnuPG 2.2.18 - כל חתימות הזהות הדיגיטליות SHA-1 שנוצרו לאחר ה-19 בינואר של שנה שעברה מוכרים כעת כלא נכונים. CAcert, אחת מרשויות האישורים העיקריות למפתחות PGP, מתכננת לעבור לשימוש בפונקציות Hash מאובטחות יותר עבור אישור מפתח. מפתחי OpenSSL, בתגובה למידע על שיטת התקפה חדשה, החליטו להשבית את SHA-1 ברמת האבטחה הראשונה המוגדרת כברירת מחדל (לא ניתן להשתמש ב-SHA-1 עבור אישורים וחתימות דיגיטליות במהלך תהליך המשא ומתן על החיבור).

מקור: OpenNet.ru