在密碼學家的幻想世界中，每個人都知道這只是時間問題。命運的時刻現在到了：SHA-1加密哈希被一群來自研究所的研究人員徹底打破了Google研究等CWI阿姆斯特丹。
加密哈希是計算機安全系統中的重要元素。它允許從任意數量的數據創建單個固定指紋，從而無法猜測原始數據。它在許多應用程序中非常有用，例如加密通信（TLS，SSL），電子簽名，備份系統，銀行交易等。例如，大多數Web服務，例如，使用密碼指紋來驗證其用戶。
SHA-1算法由NSA於1995年創建，長期以來一直是世界上使用的主要哈希功能之一。從2005年開始，研究人員開始在該設備中指出潛在的缺陷並開發攻擊。這些仍然是理論上的，因為它們需要無法實現的計算能力。但是，計算機的力量繼續增加，NIST-A標準化組織官員建議它在2011年不再使用SHA-1。
Google Research和CWI Amsterdam的研究人員剛剛通過首次實現“加密碰撞”將指甲驅動到了該算法的棺材中。換句話說，他們設法創建了兩個不同的PDF文件，它們生成相同的烙印，從而以具體的方式證明了脆弱性。這種攻擊（稱為破碎的）將允許在兩個不同的文檔上貼上相同的電子簽名，打開各種騙局的門。研究人員將在90天內發布其攻擊的源代碼。因此，每個人都可以創建具有相同SHA-1烙印的PDF文件對。
產生此碰撞並不是一件容易的事。有必要取得超過90億的SHA-1迭代。這對應於相當於CPU的計算能力，該計算能力為6,500年，而GPU持續了110年，因為此攻擊中有兩個不同的計算階段。與此計算有關的數學細節在A中指定科學論文。這項工作是在Google服務器網絡上具體進行的。第一階段依靠Xeon E5-2650V3芯片為2.3 GHz。在第二階段，研究人員使用了NVIDIA TESLA K20/K40/K80圖形芯片。
35％的網站仍然基於SHA-1
除了壯觀的一面外，這種成功的攻擊還表明，仍然使用SHA-1的系統不再安全。即使像Google，Microsoft，Mozilla或Facebook這樣的大多數大型玩家都在其產品或服務方面禁止SHA-1，但該算法仍然被廣泛傳播。根據威脅桿，35％的網站仍然基於SHA-1使用證書。 10％的銀行卡支付系統也是如此。編碼器廣泛使用的Git IT開發援助軟件也基於SHA-1。
認為他們正在處理特別在碰撞攻擊的上下文中創建的被困文件的用戶可以在網站上檢查一下破碎了，專門由研究人員創建。只需上傳文件即可清晰。確實，這個工具“是基於反對統計分析的概念，它能夠檢測出已知或未知的碰撞攻擊，從一個碰撞對的一對文件的單個文件中”，解釋說。另一方面，系統管理員被邀請不再實施SHA-1，而是用SHA-3或SHA-256等繼任者代替它。
