Ataque de colisión: SHA- ampliamente utilizado1 Algoritmo hash necesita morir de inmediato

Algoritmo SHA1-hash

SHA-1 – una de las funciones criptográficas hash ampliamente adoptadas de Internet – es A punto de morir.

Sí, el costo y el tiempo necesarios para romper el algoritmo SHA1 han disminuido mucho más rápido de lo esperado.

Según un equipo de investigadores, SHA-1 es tan débil que los piratas informáticos pueden romperlo y comprometerlo en los próximos tres meses.

El SHA1 algoritmo fue diseñado en 1995 por el Agencia de Seguridad Nacional (NSA) como parte del algoritmo de firma digital. Al igual que otras funciones hash, SHA-1 convierte cualquier mensaje de entrada en una larga cadena de números y letras que sirven como huella digital criptográfica para ese mensaje.

Al igual que las huellas digitales, los hash resultantes son útiles siempre que sean únicos. Si dos entradas de mensaje diferentes generan el mismo hash (también conocido como colisión), puede abrir puertas para que los piratas informáticos del mundo real entren en la seguridad de las transacciones bancarias, descargas de software o cualquier comunicación del sitio web.

Ataques de colisión en SHA-1

Investigadores del Centrum Wiskunde & Informatica en los Países Bajos, Inria en Francia y la Universidad Tecnológica de Nanyang en Singapur han publicado un artículo que mostró que SHA-1 es vulnerable a los mismos ataques de colisión, que llamaron Colisión libre.

Los ataques de colisión aparecen cuando se produce el mismo valor hash (huella digital) para dos mensajes diferentes, que luego se pueden explotar para falsificar firmas digitales, lo que permite a los atacantes romper las comunicaciones codificadas con SHA-1.

Romper SHA1 ahora cuesta entre $ 75,000 y $ 120,000

En 2012, el conocido investigador de seguridad Bruce Schneier estimó que costaría $ 700,000 llevar a cabo un ataque de colisión contra SHA1 para 2015 y solo $ 173,000 para 2018.

Sin embargo, según una nueva investigación, estos ataques podrían realizarse este año por $ 75,000 a $ 120,000, gracias a una nueva técnica de tarjeta gráfica conocida como “boomeranging“que encuentra colisiones SHA1.

“Nuestras nuevas proyecciones basadas en GPU ahora son más precisas y son significativas por debajo de las estimaciones de Schneier”. el trabajo de investigación lee. “Más preocupante, teóricamente ya están dentro de los recursos estimados de Schneier de los sindicatos delictivos a partir de hoy, casi 2 años antes de lo esperado y 1 año antes de SHA-1 ser marcado como inseguro “.

Mover a SHA-2 o SHA-3 Antes de que sea demasiado tarde

Los resultados publicados son teóricos y no causarán ningún peligro inmediato, pero recomendamos encarecidamente a los administradores que migren desde SHA-1 a la seguridad SHA-2 o SHA-3 algoritmos hash lo antes posible.

Los administradores deben considerar el impacto SHA-1 tendrían a su organización y plan para:

  • Hardware compatible con SHA-2/ SHA-3
  • Actualizaciones de software de servidor que admiten SHA-2/ SHA-3
  • Soporte de software de cliente para SHA-2/ SHA-3
  • Soporte de código de aplicación personalizado para SHA-2/ SHA-3

SHA-2 es desarrollado por la NSA, mientras que SHA-3 es desarrollado por un grupo de investigadores independientes.