Уход от использования SHA-1 в OpenPGP и других приложениях

09.05.2009 09:32

На проходившей в конце апреля — начале мая конференции Eurocrypt 2009 была продемонстрирована серьезная системная уязвимость алгоритма SHA-1, способная скомпрометировать использующее его приложения. Кстати сказать, подобный факт видимо уже какое-то время циркулировал в кругах криптоаналитиков, т.к. незадолго до опубликования отчета на Eurocrypt Национальный институт стандартов США (NIST) распорядился к 2010 году прекратить использование SHA-1 в правительственных учреждениях.

Проблема миграции с SHA-1 имеет положительный и отрицательный аспекты: с одной стороны и gpg, и gpg2 поддерживают семейство алгоритмов SHA-2 (SHA512, SHA384, SHA256 и SHA224), что явно указывает направление перехода. С другой стороны использование более стойких дайджестов может повлечь отказ работы приложений предыдущего поколения. И самое главное, концепция Web of Trust, в том виде, в котором мы ее знаем сегодня, практически полностью полагается на SHA-1. Поэтому, до тех пор, пока все существующие сигнатуры не будут заменены на SHA-2 невозможно говорить о безопасности хождения сообщений в сети интернет.

Для начала постепенного процесса миграции с SHA-1 предлагается предпринять следующие действия:

Добавить к собственным подписям и сертификатам новые, использующие более стойкий хеш.
Указать предпочтения к использованию SHA-2 при получении защищенной корреспонденции.
При использовании 1024 битного первичного DSA ключа (основанного на 160 битном хеше, обычно SHA-1) необходимо предпринять меры по переходу на 2048 битный RSA ключ.

На сайте Debian Administration опубликовано небольшое практическое руководство по подготовке к отказу от использования цифровой подписи SHA-1 в различных криптосистемах и в частности в системе обеспечения подлинности цифровых сообщений OpenPGP.

исправить +6 +/–

Автор новости: blkdog

Лицензия: CC BY 3.0

Короткая ссылка: https://opennet.ru/21657-SHA-1

Ключевые слова: SHA-1, crypt, pgp, openpgp, security

При перепечатке указание ссылки на opennet.ru обязательно

Обсуждение (13)

1.1, Нифига не понял (?), 13:25, 09/05/2009 [ответить] [﹢﹢﹢] [ · · · ]	+1 +/–
Нифига не понял. При 2^52 вариантов нужно расчитывать 150М хэшэй в секунду, чтобы найти нужный за год. Это мало?

2.5, User294 (??), 17:31, 09/05/2009 [^] [^^] [^^^] [ответить]	–1 +/–
> Это мало? Не то слово - это по сути пи$#ец котенку.Не шибко большой суперкомпьютер.Или даже просто оптимизированная под атаку железка (e.g. на куче плис, как EFF для слома DES собрали в свое время - всего за $25 000, студенты впрочем потом собрали еще 1 подобную - но за $10 000).Кстати в DES вроде перебор и то поболее будет, а железяка от EFF сломала его за 2 дня.Если там натурально за 2^52 вариантов атака осуществляется - можно о SHA-1 забыть и считать что его нет :\

1.2, Vaso Petrovich (?), 13:50, 09/05/2009 [ответить] [﹢﹢﹢] [ · · · ]	+1 +/–
читайте внимательно, речь не идет о переборе, речь об уязвимости... Это несолько другое... Если чо! :-)

2.3, Нифига не понял (?), 15:10, 09/05/2009 [^] [^^] [^^^] [ответить]

+/–

Ну да, уязвимость алгоритма хэширования - уменьшение сложности подбора. Как в оригинале и написано.

Until now, the best complete differential path (to our knowledge) has complexity 2^63

The new path presented has complexity 2^52 - a significant reduction.

И что? ;)

3.4, Анонима (?), 17:16, 09/05/2009 [^] [^^] [^^^] [ответить]	–4 +/–
это тебе год нужен, а ФСБ или ЦРУ меньше. даже если ты не доступен для терморектального криптоанализа

4.8, Аноним (-), 15:52, 10/05/2009 [^] [^^] [^^^] [ответить]	+4 +/–
это полный перебор. Скорее всего нужная последовательность найдётся раньше.

3.11, XoRe (ok), 19:20, 13/05/2009 [^] [^^] [^^^] [ответить]	–1 +/–
>Ну да, уязвимость алгоритма хэширования - уменьшение сложности подбора. Как в оригинале >и написано. > >Until now, the best complete differential path (to our knowledge) has complexity >2^63 > >The new path presented has complexity 2^52 - a significant reduction. > >И что? ;) 2^(63-52) = 2^11 = 2048 В 2048 раз меньше действий на подбор. То есть допустим, раньше нужно было 2048 дня на подбор, а сейчас один день. Есть разница?

4.13, qaz (??), 23:35, 13/05/2009 [^] [^^] [^^^] [ответить]	–1 +/–
Если так считать, то 2^63 дней на подбор и 2^52 дней на подбор. Разница конечно есть, но числа все равно немаленькие :)

1.6, Илья (??), 10:01, 10/05/2009 [ответить] [﹢﹢﹢] [ · · · ]	+3 +/–
Год на одном компе, день на 356 компах...

2.7, Nick (??), 11:42, 10/05/2009 [^] [^^] [^^^] [ответить]	–1 +/–
точно подмечено

2.9, pavlinux (ok), 17:34, 10/05/2009 [^] [^^] [^^^] [ответить]

+/–

>Год на одном компе, день на 356 компах...

Или 4 минуты на IBM Roadrunner o 129600-х процессорах.

2.12, XoRe (ok), 19:21, 13/05/2009 [^] [^^] [^^^] [ответить]	+2 +/–
Ещё можно вспомнить активистов с парком из 200 Playstation-3.

1.14, KZ (?), 07:12, 14/05/2009 [ответить] [﹢﹢﹢] [ · · · ]	–1 +/–
а что толку если подберете 2-е сообщение с таким же хэшем. толку будет мало!!! по тому, что сообщение то будет не четабельным. если подобрать второе сообщение и возможно с аналоигичным хэшем, но сделать его структурированным и читабельным невозможно!!!

игнорирование участников | лог модерирования

Добавить комментарий

Текст: