Google décrypte avec succès le hachage SHA-1 populaire

Une équipe de Google et CWI Amsterdam vient d’annoncer la première collision de hachage SHA-1 (Secure Hash Algorithm 1). SHA–une est une fonction de hachage cryptographique conçue par la National Security Agency (NSA) des États-Unis et est une norme de traitement de l’information fédérale des États-Unis publiée par le NIST, États-Unis The Attack on Hash Message Digest 160 bits (20 octets) nécessitaient plus de 9 223 372 036 854 775 808 calculs SHA-1, ce qui prendrait 6500 ans s’il était effectué sur un seul processeur et 110 ans sur un seul calcul GPU.

Les nombres absolus peuvent sembler trop exagérés, mais ils sont pratiques si vous êtes, par exemple, un attaquant parrainé par l’État et que vous possédez un botnet suffisamment grand. SHA-1 est utilisé pour la vérification de l’intégrité des fichiers et des signatures numériques dans un grand nombre d’applications, telles que les signatures PGP / GPG, les mises à jour logicielles, les certificats numériques, les systèmes de sauvegarde, etc.

SHA-1 a été introduit comme une alternative plus sûre à MD5, qui était connue pour être défectueuse depuis 1996. En 2004, MD5 a finalement été déclaré inadapté pour des applications comme les certificats SSL ou les signatures numériques.

Crédits: Hacker’s News

Des attaques théoriques contre SHA-1 se profilent à l’horizon depuis 2005, et une pratique a été démontrée en 2015. Bien qu’elle n’ait pas arrêté l’utilisation de la fonction de hachage SHA-1, elle a encore sapé ses revendications de sécurité. Mais la dernière opération, nommée «SHAttered», a peut-être eu le dernier mot car elle a réussi à produire deux fichiers PDF différents avec la même somme de contrôle.

Le code de travail de l’attaque sera lancé dans trois mois, conformément à la politique de divulgation des vulnérabilités de Google, qui permettra à n’importe qui de créer quelques fichiers PDF générant un hachage qui fournissent deux images différentes sans conditions préalables spécifiques. Google Chrome avertit déjà les utilisateurs lorsqu’ils visitent des sites Web certifiés SHA-1 et recommande d’utiliser SHA-256 ou SHA-3 dans le logiciel.

Pendant ce temps, Google a publié un outil de détection gratuit qui détermine si vos fichiers font partie d’une attaque par collision. Vous pouvez le télécharger et en savoir plus sur la première attaque par collision sur shattered.io.

Que pensez-vous de cet incident? Commentaires ci-dessous!