搜索

[26112] 2017-02-28_【每日安全资讯】虽然SHA-1遭遇碰撞攻击，但“天还没塌”

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2017-02-28_【每日安全资讯】虽然SHA-1遭遇碰撞攻击，但“天还没塌” 【 每 日 安 全 资 讯 】 虽 然 S H A - 1 遭 遇 碰 撞 攻 击 ， 但 “ 天 还 没 塌 ” 安 华 金 和   L i n u x 中 国   2 0 1 7 - 0 2 - 2 8 上 周 四 G o o g l e 与 荷 兰 研 究 机 构 C W I 宣 布 首 例 S H A - 1 碰 撞 攻 击 实 例 。 仅 仅 一 天 后 的 周 五 就 出 现 了 首 个 碰 撞 攻 击 的 攻 击 受 害 者 ： W e b K i t   项 目 使 用 的 开 源 版 本 控 制 系 统 A p a c h e   S V N ， 引 发 业 界 讨 论 。 S H A - 1 遭 碰 撞 后 ， 我 们 的 网 络 空 间 还 安 全 吗 ？ 虽 然 这 个 问 题 是 发 生 在 W e b K i t   S V N 上 的 ， 但 它 能 影 响 全 世 界 的 版 本 控 制 系 统 。 程 序 测 试 导 致 代 码 仓 库 崩 溃 程 序 测 试 导 致 代 码 仓 库 崩 溃 事 情 的 起 因 是 W e b K i t 的 工 程 师 想 要 看 看 W e b K i t 会 如 何 处 理 S H A - 1 碰 撞 ， 于 是 他 上 传 了 G o o g l e 提 供 的 两 份 内 容 不 同 ， S H A - 1 校 验 值 相 同 的 P D F 文 件 。 W e b K i t   S V N 接 收 到 上 传 的 两 份 文 件 后 立 即 出 错 并 且 不 再 接 受 任 何 新 的 代 码 推 送 。 无 论 是 回 滚 还 是 删 除 P D F 文 件 都 不 起 作 用 ， S V N   r e p o 仍 然 无 法 使 用 ， 与 镜 像 r e p o 的 同 步 也 中 止 了 。 虽 然 工 程 师 最 终 修 复 了 问 题 ， 但 W e b K i t 团 队 不 得 不 放 弃 在 他 们 软 件 中 检 测 S H A - 1 碰 撞 的 想 法 。 S V N 缺 陷 被 确 认 缺 陷 被 确 认 G o o g l e 和 A p a c h e 分 别 确 认 了 S V N 存 在 的 问 题 。 G o o g l e 在 其 S H A - 1 碰 撞 攻 击 网 站 上 写 道 ： “ 版 本 控 制 服 务 器 会 使 用 S H A - 1 进 行 重 复 数 据 删 除 。 当 两 个 [ 具 有 相 同 S H A - 1 而 内 容 不 同 的 ] 文 件 被 提 交 到 r e p o 时 ， 代 码 仓 库 就 会 损 坏 。   [ . . . ] 我 们 注 意 到 ， 在 某 些 情 况 下 ， 由 于 代 码 仓 库 损 坏 ， 用 户 无 法 再 提 交 代 码 。 ” A p a c h e 则 在 确 认 缺 陷 后 不 久 发 布 了 临 时 补 丁 ， 这 个 脚 本 可 以 在 S V N   c h e c k o u t 之 前 检 查 提 交 的 源 代 码 中 有 没 有 能 够 导 致 S H A 1 碰 撞 的 文 件 。 A p a c h e 表 示 会 在 将 来 提 供 更 好 的 解 决 方 案 。 事 实 上 S H A - 1 遭 遇 碰 撞 攻 击 后 ， 人 们 就 担 心 ， 使 用 S H A - 1 校 验 的 代 码 仓 库 G i t 会 不 会 存 在 被 攻 击 的 问 题 。 版 本 控 制 系 统 G i t 的 作 者 L i n u s   T o r v a l d s   在 其 G o o g l e + 账 号 上 称 ， G i t 不 会 受 这 类 攻 击 影 响 ： 使 用 加 密 哈 希 用 作 安 全 签 名 和 用 在 诸 如 g i t 的 内 容 可 寻 址 系 统 中 生 成 “ 内 容 标 识 符 ” 存 在 很 大 的 区 别 ； 这 个 S H A 1 攻 击 的 本 质 决 定 它 实 际 上 很 容 易 缓 解 ， 已 经 有 两 组 针 对 这 个 攻 击 的 补 丁 ； 实 际 上 有 个 直 接 过 渡 到 一 些 其 他 的 哈 希 方 法 。 他 还 表 示 ， G i t   确 实 需 要 替 换   S H A 1 ， 这 需 要 时 间 ， 并 不 需 要 现 在 就 去 做 。
专 家 ： 天 还 没 有 塌 下 来 专 家 ： 天 还 没 有 塌 下 来 L i n u s   T o r v a l d s 针 对 谷 歌 完 成 S H A - 1 碰 撞 一 事 ， 在 他 的 G o o g l e + 帐 号 中 说 了 一 句 话 ： 天 还 没 有 塌 下 来 。 实 际 上 很 多 专 家 们 对 安 全 形 势 也 是 持 乐 观 态 度 的 。 弃 用 S H A - 1 并 不 难 S H A - 1 最 普 遍 的 应 用 就 是 S S L / T L S 连 接 的 加 密 了 ， 对 于 这 个 问 题 ， 各 大 浏 览 器 厂 商 早 已 开 始 淘 汰 S H A - 1 算 法 了 。 早 在 2 0 1 4 年 ， C h r o m e 浏 览 器 就 不 再 推 荐 S H A - 1 算 法 的 浏 览 器 证 书 ， 微 软 E d g e 浏 览 器 、 F i r e f o x 浏 览 器 都 在 计 划 逐 步 淘 汰 S H A - 1 算 法 。 而 作 为 厂 商 ， 升 级 S H A - 1 证 书 是 应 该 做 的 事 ， 而 且 也 不 那 么 难 。 I n f o S e c   G l o b a l 公 司 C S O   D a v i d   M a x w e l l 表 示 ， S H A - 1 还 可 能 潜 伏 在 一 些 不 那 么 普 遍 的 地 方 。 很 多 产 品 代 码 中 可 能 会 含 有 S H A 1 相 关 代 码 ， 比 如 C M S 系 统 和 代 码 控 制 系 统 会 用 S H A - 1 校 验 文 件 防 止 篡 改 ， 如 果 这 些 系 统 购 买 自 第 三 方 ， 那 公 司 可 以 问 问 厂 商 是 不 是 用 了 S H A - 1 、 何 时 打 算 更 换 算 法 。 对 于 那 些 加 密 算 法 出 现 在 代 码 中 的 情 况 ， M a x w e l l 称 ， 如 果 代 码 具 有 足 够 的 加 密 灵 活 性 ， 那 替 换 成 更 安 全 的 算 法 也 不 会 是 难 题 。 所 谓 加 密 灵 活 性 通 俗 讲 其 实 就 是 在 代 码 中 使 用 了 别 的 模 块 来 调 用 哈 希 函 数 ， 在 这 种 情 况 下 只 需 要 简 单 地 替 换 调 用 的 模 块 就 行 了 。 攻 击 成 本 高 昂 攻 击 成 本 高 昂 G o o g l e 与 C W I 公 布 的 新 方 法 比 传 统 的 暴 力 破 解 快 了 1 0 0 , 0 0 0 倍 。 具 体 花 费 的 时 间 与 C P U 和 G P U 有 关 ， 即 使 是 拥 有 强 大 计 算 资 源 的 G o o g l e ， 从 研 究 、 规 划 到 计 算 也 花 了 两 年 。 碰 撞 攻 击 的 第 一 阶 段 花 费 7 4 0 万 美 元 ， 这 还 是 假 设 C P U 开 足 马 力 每 时 每 刻 在 亚 马 逊 上 运 行 的 情 况 ， 因 此 能 够 利 用 这 个 漏 洞 的 人 只 可 能 是 资 源 丰 富 的 罪 犯 或 者 国 家 资 助 的 黑 客 。 英 特 尔 的 J e s s e   W a l k e r 估 计 ， 到 2 0 2 1 年 ， 制 造 S H A - 1 碰 撞 的 计 算 硬 件 成 本 为 4 3 0 0 0 美 元 。 因 此 ， 即 便 G o o g l e 证 明 S H A - 1 算 法 是 可 以 被 攻 击 的 ， 它 离 实 际 应 用 还 差 很 远 。 来 源 ： f r e e b u f . c o m
更 多 资 讯 1 .   G o o g l e   E 2 E M a i l 加 密 电 子 邮 件 代 码 宣 告 开 源 h t t p : / / t . c n / R i 5 Q p K M 2 .   美 五 角 大 楼 宣 布 将 开 源 国 防 部 部 分 项 目 代 码 （ 正 在 征 询 意 见 ） h t t p : / / t . c n / R i 5 Q 0 z m 3 .   俄 黑 客 " 助 攻 " 揭 丑 闻 : 奥 运 四 金 王 教 练 唆 使 队 员 用 药 h t t p : / / t . c n / R i 5 Q 0 C b 4 .   9 4 % 的 微 软 高 危 漏 洞 可 通 过 关 闭 管 理 权 限 消 除 h t t p : / / t . c n / R i 5 Q O P Z （ 信 息 来 源 于 网 络 ， 安 华 金 和 搜 集 整 理 ）
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理