SHA-1被完全破解

谷歌近期宣布,完成了真实世界的第一次碰撞攻击,创造了两个SHA-1完全相同的PDF文件。此举意味着,SHA-1从2005年开始就被质疑到如今正式要摇摇欲坠。科学家称,预计在明年,只需花费17万美元购买云计算服务,就可以全网破解SHA-1。

SHA-1(安全哈希算法)在许多加密安全协议中广泛使用,包括TLS和SSL、PGP、SSH、S/MIME和IPsec,通常我们在从网上下载一些镜像和重要文件的时候(甚至软件自更新时的校验),也会比对MD5和SHA-1值。

本次碰撞攻击的计算量相当于单CPU连续处理6500年再加上GPU连续处理110年,现在还没有单一黑客可以搞定。对于普通用户,其实意义不大,关键是网站管理员和开发人员能尽快转移到SHA-2(如SHA-256)或者SHA-3。

在外部支持方面,微软Edge和Internet Explorer已于月初放弃SHA-1签署的TLS证书,Mozilla今年7月1日停止,Chrome 56会对SHA-1加密认证的HTTPS的网页提示不安全。

另外值得一提的是,我国还有百万的Windows XP SP2用户,但该系统完全不支持SHA-2。