保护电子商务和软件安全的SHA1算法可能会在年底前崩溃

周四，一个国际研究团队警告称，作为互联网上最关键的密码算法之一，SHA1对新改良的攻击非常脆弱，可能会在未来三个月内被现实世界的黑客破解。

SHA1在理论上早就被打破了，所有的主流浏览器都计划从2017年1月开始停止接受基于SHA1的签名。现在，研究人员与Centrum Wiskunde &荷兰的Informatica、法国的Inria和新加坡的南洋理工大学(Nanyang Technological University)发表了一篇论文，认为在截止日期之前，现实世界的攻击有可能破坏算法。真实世界的伪造结果可能是灾难性的，因为研究人员估计SHA1现在支撑着超过28%的现有数字证书。

SHA1就是所谓的密码散列函数。与所有散列函数一样，它接受文本、计算机代码或其他消息输入的集合，并生成一长串字母和数字，作为该消息的密码指纹。即使是一个很小的变化，比如在5000字的电子邮件中添加或删除一个逗号，也会生成一个截然不同的散列。与所有指纹一样，生成的散列只有在惟一时才有用。当两个不同的消息输入产生相同的散列时，所谓的碰撞可能会导致签名伪造，从而对银行交易、软件下载和网站通信的安全性造成灾难性的影响。

虽然MD5在其他情况下仍然是可行的，但在生成数字签名时，它基本上已经被弃用了。(值得注意的是，MD5也不适合加密保护密码，但这与它易受碰撞攻击无关。)相比之下，SHA1比MD5更能抵抗碰撞，尽管它也一直被认为是脆弱的。2012年，密码学家警告称，计算技术的不断进步，使针对SHA1的真实世界碰撞攻击在2018年成为可能。

这一估计是基于研究人员对SHA1压缩函数进行成功碰撞攻击的能力。虽然与实际的SHA1算法本身没有冲突，但这一壮举仍然使支持该算法的安全证明无效，并证明了新的图形卡技术的可靠性。

研究人员在他们的论文中写道:“我们基于gpu的新预测现在更准确了，而且大大低于施奈尔的估计。”更令人担忧的是，从理论上讲，它们已经在施奈尔估计的犯罪集团资源范围之内，比之前的预期早了近两年，比SHA-1在现代互联网浏览器中被标记为不安全的时间早了一年。因此，我们认为从SHA-1迁移到安全的SHA-2或SHA-3散列算法应该比之前计划的更早完成。”

这篇论文指出，研究中涉及的冲突被称为同源-前缀冲突，而不是Flame攻击Windows Update或2008年证书颁发机构模拟时所涉及的严重得多且代价高昂的选择-前缀冲突。相同前缀碰撞仍然允许签名伪造，但是它们的能力远不如选择前缀碰撞灵活。

例如，相同前缀冲突允许两个不同的可执行文件生成相同的数字签名。它们还允许碰撞显示不同内容的PDF文档。它们还使生成冲突证书成为可能，但这些证书只在公钥中不同，而在身份名称(比方说)中没有不同，因此不容易被滥用。

周四的研究显示，SHA1比之前认为的要弱。与此同时，浏览器开发人员和证书颁发机构正在考虑一项提案，将基于SHA1的HTTPS证书的许可发放期限延长12个月，即至2016年底，而不是不迟于当年1月。该提案认为，一些大型组织目前很难为其数字证书采用更安全的哈希算法，需要额外一年的时间来完成过渡。

论文作者是马克·史蒂文斯、皮埃尔·卡普曼和托马斯·佩兰。如果新的计算结果得到研究人员同行的证实，那么很可能为投反对票提供强有力的论据，取而代之的是迅速转向使用抗碰撞能力强得多的SHA2。