Onderzoekers van het Franse nationale onderzoeksinstituut voor informatietechnologie en automatisering (INRIA) en de Nanyang Technological University (Singapore) hebben een aanvalsmethode gepresenteerd (), die wordt gepresenteerd als de eerste praktische implementatie van een aanval op het SHA-1-algoritme, die kan worden gebruikt voor het creƫren van valse digitale handtekeningen voor PGP en GnuPG. De onderzoekers geloven dat nu alle praktische aanvallen op MD5 ook kunnen worden toegepast op SHA-1, hoewel ze nog steeds aanzienlijke middelen vereisen om te worden uitgevoerd.
De methode is gebaseerd op , waarmee voor twee willekeurige gegevenssets aanvullingen kunnen worden geselecteerd, zodat de output collidende sets genereert, waarbij het gebruik van het SHA-1-algoritme resulteert in dezelfde resulterende hash. Met andere woorden, voor twee bestaande documenten kunnen twee aanvullingen worden berekend, en als de ene aan het eerste document wordt toegevoegd en de andere aan het tweede ā zullen de resulterende SHA-1-hashes voor deze bestanden gelijk zijn.
De nieuwe methode verschilt van eerder voorgestelde vergelijkbare technieken door de efficiƫntie van het vinden van collisies te verbeteren en de praktische toepassing voor een aanval op PGP te demonstreren. In het bijzonder konden de onderzoekers twee openbare PGP-sleutels van verschillende formaten (RSA-8192 en RSA-6144) maken met verschillende gebruikersidentificaties en certificaten die een SHA-1-collisie veroorzaken. bevatte de identificatie van het slachtoffer, terwijl de de naam en afbeelding van de aanvaller bevatte. Dankzij het vinden van de collisie had het identificerende certificaat, dat de sleutel en afbeelding van de aanvaller bevatte, dezelfde SHA-1-hash als het identificerende certificaat dat de sleutel en naam van het slachtoffer bevatte.
De aanvaller kon een digitale handtekening aanvragen voor zijn sleutel en afbeelding bij een externe certificeringsinstantie, waarna hij de digitale handtekening voor de sleutel van het slachtoffer kon overdragen. De digitale handtekening blijft geldig door de collisie en de goedkeuring van de sleutel van de aanvaller door de certificeringsinstantie, waardoor de aanvaller de controle over de sleutel met de naam van het slachtoffer kan krijgen (aangezien de SHA-1-hash voor beide sleutels overeenkomt). Uiteindelijk kan de aanvaller zich als het slachtoffer voordoen en elk document namens hen ondertekenen.
De aanval blijft voorlopig vrij kostbaar, maar is al goed betaalbaar voor inlichtingendiensten en grote bedrijven. Voor een eenvoudige collisieve selectie met de goedkopere NVIDIA GTX 970 GPU bedroegen de kosten 11.000 dollar, terwijl de kosten voor het selecteren van een collisie met een gegeven prefix 45.000 dollar waren (ter vergelijk: in 2012 werden de kosten voor collisievorming in SHA-1 geschat op 2 miljoen dollar, en in 2015 op 700.000). Voor het uitvoeren van een praktische aanval op PGP waren twee maanden berekeningen nodig met 900 NVIDIA GTX 1060 GPU's, waarvan de huur de onderzoekers 75.000 dollar kostte.
De methode voor het detecteren van collisies die door de onderzoekers is voorgesteld, is ongeveer 10 keer efficiƫnter dan eerdere prestaties - het niveau van berekeningen voor collisies kon worden verlaagd naar 261.2 operaties in plaats van 264.7, en collisies met een gegeven prefix naar 263.4 operaties in plaats van 267.1. De onderzoekers raden aan zo snel mogelijk over te stappen van SHA-1 naar SHA-256 of SHA-3, aangezien hun voorspellingen aangeven dat de kosten voor het uitvoeren van een aanval in 2025 tot 10.000 dollar zullen dalen.
De ontwikkelaars van GnuPG werden op 1 oktober op de hoogte gesteld van het probleem (CVE-2019-14855), en op 25 november namen ze in de release van GnuPG 2.2.18 maatregelen om problematische certificaten te blokkeren - alle digitale identificerende handtekeningen in SHA-1, gemaakt na 19 januari vorig jaar, worden nu als ongeldig beschouwd. Bij CAcert, een van de belangrijkste certificeringsinstanties voor PGP-sleutels, zijn ze van plan over te stappen op veiligere hashfuncties voor de certificering van sleutels. De ontwikkelaars van OpenSSL hebben als reactie op informatie over de nieuwe aanvalsmethode besloten SHA-1 uit te schakelen in het standaard eerste beveiligingsniveau (SHA-1 kan niet worden gebruikt voor certificaten en digitale handtekeningen tijdens de onderhandelingen van verbindingen).
Bron: opennet.ru
