搜索

[11173] 2017-03-26_为什么要用BLAKE2替换SHA-1？密码学分析

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2017-03-26_为什么要用BLAKE2替换SHA-1？密码学分析 为 什 么 要 用 B L A K E 2 替 换 S H A - 1 ？ |   密 码 学 分 析 A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 0 3 - 2 6 当 哈 希 碰 撞 成 为 现 实 当 哈 希 碰 撞 成 为 现 实 如 果 你 在 过 去 的 十 二 年 里 不 是 生 活 在 原 始 森 林 的 话 ， 那 么 你 一 定 知 道 密 码 学 哈 希 函 数 如 果 你 在 过 去 的 十 二 年 里 不 是 生 活 在 原 始 森 林 的 话 ， 那 么 你 一 定 知 道 密 码 学 哈 希 函 数 S H A - 1 是 存 在 问 题 的 ， 简 而 言 之 ， 是 存 在 问 题 的 ， 简 而 言 之 ， S H A - 1 没 有 我 们 想 象 中 的 那 么 安 全 。 没 有 我 们 想 象 中 的 那 么 安 全 。 S H A - 1 会 生 成 会 生 成 1 6 0 位 的 摘 要 ， 这 意 味 着 我 们 需 要 进 行 大 约 位 的 摘 要 ， 这 意 味 着 我 们 需 要 进 行 大 约 2 ^ 8 0 次 操 作 才 能 出 现 一 次 哈 希 碰 次 操 作 才 能 出 现 一 次 哈 希 碰 撞 （ 多 亏 了 撞 （ 多 亏 了 B i r t h d a y 攻 击 ） 。 但 是 在 攻 击 ） 。 但 是 在 2 0 0 5 年 密 码 学 专 家 通 过 研 究 发 现 ， 发 生 一 次 哈 希 碰 撞 其 实 并 不 需 要 这 么 多 次 的 操 作 ， 大 年 密 码 学 专 家 通 过 研 究 发 现 ， 发 生 一 次 哈 希 碰 撞 其 实 并 不 需 要 这 么 多 次 的 操 作 ， 大 概 只 需 要 概 只 需 要 2 ^ 6 5 次 操 作 就 可 以 实 现 了 。 次 操 作 就 可 以 实 现 了 。 这 就 非 常 糟 糕 了 ， 如 果 现 实 生 活 中 可 以 实 现 哈 希 碰 撞 的 话 ， 那 么 这 就 会 让 很 多 使 用 S H A - 1 的 应 用 程 序 变 得 更 加 的 不 安 全 。 而 这 个 操 作 次 数 ， 即 2 ^ 6 5 次 ， 是 一 个 比 较 接 近 实 际 情 况 的 数 字 。 如 果 你 想 用 自 己 的 笔 记 本 电 脑 来 进 行 计 算 的 话 ， 可 能 需 要 好 几 年 的 时 间 ， 但 是 对 于 那 些 手 头 上 有 资 金 有 技 术 的 大 型 组 织 而 言 ， 计 算 出 一 次 哈 希 碰 撞 可 能 只 需 要 一 两 周 的 时 间 。 G o o g l e 就 是 具 备 上 述 条 件 的 一 个 组 织 ， G o o g l e 根 据 C W I 的 安 全 研 究 人 员 M a r c   S t e v e n s 和 P i e r r e   K a r p m a n 的 最 新 研 究 成 果 ， 并 使 用 了 大 量 的 计 算 资 源 （ C P U 集 群 和 G P U 集 群 ） 实 现 了 最 优 分 布 式 碰 撞 搜 索 。 碰 撞 信 息 如 下 图 所 示 ：
既 然 现 在 已 经 是 2 0 1 7 年 了 ， 所 以 哈 希 碰 撞 也 有 自 己 的 “ 昵 称 ” 和 l o g o 了 ： h t t p : / / s h a t t e r e d . i o / 。 M a r c   S t e v e n s 和 其 他 密 码 学 研 究 人 员 的 多 年 努 力 以 及 G o o g l e 工 程 产 品 的 高 性 能 让 哈 希 碰 撞 成 为 了 现 实 ， 而 这 其 实 也 并 不 会 让 我 们 感 到 惊 讶 ， 因 为 我 们 知 道 这 是 迟 早 会 发 生 的 事 情 但 是 ， 这 次 哈 希 碰 撞 的 实 现 让 很 多 安 全 威 胁 变 得 离 我 们 更 加 近 了 ， 很 多 目 前 正 在 使 用 S H A - 1 的 服 务 也 正 在 寻 找 替 代 方 案 。 如 果 要 代 替 S H A - 1 的 话 ， 我 推 荐 B L A K E 2 ， 这 是 一 个 哈 希 算 法 ， 它 是 由 安 全 研 究 专 家 S a m u e l   N e v e s 、 Z o o k o 和 C o d e s I n C h a o s 共 同 设 计 开 发 的 。 接 下 来 我 会 告 诉 大 家 ， 我 为 何 要 推 荐 用 B L A K E 2 来 代 替 S H A - 1 。 因 为 因 为 S H A - 1 存 在 严 重 的 安 全 问 题 存 在 严 重 的 安 全 问 题 当 然 了 ， 没 人 会 愿 意 使 用 存 在 安 全 问 题 的 哈 希 算 法 。 不 过 这 也 得 看 情 况 ， 这 一 次 破 解 的 只 是 S H A - 1 的 抗 碰 撞 性 ， 而 某 些 网 络 应 用 其 实 对 抗 碰 撞 性 并 没 有 太 高 的 要 求 。 比 如 说 ， 类 似 H M A C - S H A - 1 （ 使 用 H M A C 伪 随 机 函 数 和 S H A - 1 共 同 作 为 哈 希 函 数 ） 或 P B K D F 2 - H M A C - S H A 1 （ 使 用 H M A C - S H A - 1 作 为 伪 随 机 函 数 的 P B K D F 2 密 码 哈 希 ） 这 样 的 哈 希 函 数 仍 然 是 安 全 的 ， 但 是 我 们 仍 然 建 议 大 家 放 弃 使 用 S H A - 1 。 因 为 因 为 B L A K E 2 是 安 全 的 是 安 全 的 我 们 给 B L A K E 2 的 定 位 是 目 前 安 全 系 数 最 高 的 哈 希 函 数 ， 从 2 0 1 2 年 B L A K E 2 的 发 布 之 日 至 今 ， 我 们 还 没 有 发 现 针 对 B L A K E 2 的 攻 击 。 实 际 上 ， B L A K E 2 是 基 于 B L A K E 实 现 的 ， B L A K E 是 2 0 0 8 年 被 提 交 至 S H A - 3 竞 赛 的 一 种 哈 希 函 数 ， 而 且 全 世 界 最 优 秀 的 密 码 学 分 析 专 家 对 这 个 哈 希 函 数 进 行 了 长 达 四 年 的 审 查 ， 然 而 并 没 有 发 现 任 何 的 不 安 全 因 素 。 除 此 之 外 ， B L A K E 2 的 内 部 基 于 的 是 C h a C h a ， 而 C h a C h a 是 高 度 可 信 任 的 ， 它 不 太 可 能 被 破 解 。 （ 注 ： C h a C h a 是 一 种 由 D a n i e l   J . B e r n s t e i n 设 计 的 流 密 码 ， 它 是 T L S 1 . 3 所 使 用 的 三 大 密 码 之 一 ， 并 且 符 合 新 的 T L S 标 准 。 ） 因 为 因 为 B L A K E 2 的 速 度 比 的 速 度 比 S H A - 1 更 快 更 快 由 于 在 设 计 之 初 就 考 虑 到 了 安 全 和 性 能 方 面 的 优 化 ， B L A K E 2 在 速 度 方 面 是 要 优 于 S H A - 1 的 。 下 图 显 示 的 是 各 种 不 同 的 哈 希 函 数 在 一 块 英 特 尔 C P U （ S k y l a k e 架 构 ） 上 的 吞 吐 量 测 试 信 息 ：
因 为 因 为 B L A K E 2 非 常 简 单 非 常 简 单 你 会 发 现 ， 我 们 可 以 方 便 地 用 各 种 不 同 的 编 程 语 言 来 实 现 B L A K E 2 ， 例 如 C 、 G o 、 J a v a 、 J a v a S c r i p t 、 P y t h o n 或 R u s t 。 比 如 说 ， B L A K E 2 默 认 就 是 G o 语 言 “ / x / c r y p t o ” 包 中 的 一 部 分 。 除 此 之 外 ， 目 前 很 多 流 行 的 加 密 代 码 库 都 包 含 有 B L A K E 2 ， 例 如 O p e n S S L 和 S o d i u m 等 等 。 如 果 你 想 使 用 其 他 语 言 来 实 现 B L A K E 2 的 话 ， 可 参 考 S o d i u m 给 出 的 资 料 【 点 击 文 末 的 阅 读 原 文 查 看 】 。 因 为 因 为 B L A K E 2 就 是 你 所 需 要 的 东 西 就 是 你 所 需 要 的 东 西 B L A K E 2 不 仅 仅 只 是 一 个 简 单 的 哈 希 函 数 而 已 ！ 首 先 ， B L A K E 2 有 两 大 主 要 版 本 ： B L A K E 2 b 和 B L A K E 2 s 。 B L A K E 2 b 是 B L A K E 的 6 4 位 版 本 ， 它 可 以 生 成 最 高 5 1 2 位 的 任 意 长 度 哈 希 。 B L A K E 2 s 是 B L A K E 的 3 2 位 版 本 ， 它 可 以 生 成 最 高 2 5 6 位 的 任 意 长 度 哈 希 。 为 了 进 一 步 提 升 哈 希 计 算 的 速 度 ， B L A K E 的 并 行 版 本 B L A K E 2 b p 和 B L A K E 2 s p 可 以 在 多 个 计 算 核 心 上 并 行 运 行 ， 而 此 时 的 运 行 效 率 将 是 串 行 运 行 的 八 倍 。 如 果 你 想 在 B L A K E 2 的 哈 希 计 算 中 使 用 密 钥 的 话 ， 例 如 伪 随 机 函 数 （ P R F ） 或 消 息 认 证 码 （ M A C ） ， 你 不 需 要 像 使 用 H M A C 一 样 还 要 专 门 去 实 现 这 些 计 算 ， 因 为 B L A K E 2 可 以 接 受 一 个 密 钥 作 为 可 选 输 入 参 数 ， 计 算 完 成 之 后 你 就 可 以 得 到 一 个 跟 H M A C 一 样 安 全 的 哈 希 了 。
如 果 你 需 要 长 度 高 于 5 1 2 位 的 哈 希 值 ， 例 如 实 现 一 个 密 钥 导 出 函 数 （ K D F ） 或 确 定 性 随 机 比 特 生 成 器 （ D R B G ） ， 我 们 创 建 了 B L A K E 2 x ， B L A K E 2 x 是 对 B L A K E 2 的 简 单 扩 展 ， 它 可 以 生 成 任 意 长 度 的 哈 希 值 （ 长 度 不 受 限 制 ） 。 为 什 么 不 用 为 什 么 不 用 S H A - 2 或 或 S H A - 3 代 替 代 替 S H A - 1 呢 ？ 呢 ？ S H A - 2 其 实 是 一 个 哈 希 函 数 家 族 ， 其 中 包 括 S H A - 2 5 6 、 S H A - 3 8 4 和 S H A - 5 1 2 ， 而 且 还 提 供 了 S H A - 2 2 4 和 S H A - 3 8 4 这 两 个 变 种 版 本 。 S H A - 2 哈 希 函 数 可 以 看 作 是 安 全 系 数 更 高 的 S H A - 1 ， 而 S H A - 2 目 前 还 没 有 被 破 解 。 但 是 跟 B L A K E 2 相 比 ， S H A - 2 哈 希 函 数 在 性 能 和 速 度 方 面 明 显 要 处 于 劣 势 。 除 此 之 外 ， 它 不 支 持 额 外 的 功 能 ， 而 且 也 无 法 抵 御 哈 希 长 度 扩 展 攻 击 。 S H A - 3 同 样 是 一 个 哈 希 函 数 家 族 ， 2 0 1 5 年 发 布 的 美 国 联 邦 标 准 F I P S   2 0 2 还 对 其 进 行 了 标 准 化 规 范 。 S H A - 3 是 基 于 K e c c a k （ S H A - 3 竞 赛 中 的 胜 者 ） 实 现 的 ， S H A - 3 哈 希 函 数 跟 B L A K E 2 一 样 的 安 全 ， 但 是 同 样 在 速 度 方 面 处 于 下 风 。 很 多 人 选 择 使 用 S H A - 3 而 不 选 择 B L A K E 2 的 理 由 可 能 是 B L A K E 2 并 不 是 一 种 规 范 标 准 （ 虽 然 B L A K E 也 有 自 己 的 标 准 化 文 档 R F C ） ， 而 且 B L A K E 2 也 没 有 得 到 F I P S 的 许 可 认 证 。 我 们 应 该 怎 么 做 ？ 我 们 应 该 怎 么 做 ？ 当 我 尝 试 通 过 审 查 源 代 码 来 发 现 加 密 算 法 中 的 漏 洞 时 ， 我 通 常 会 使 用 类 似 g r e p – H n r i   m d 5 或 r g – i   m d 5 这 样 的 命 令 来 查 看 代 码 中 M D 5 的 使 用 信 息 ， 这 样 就 可 以 迅 速 地 找 出 算 法 中 的 潜 在 漏 洞 。 我 建 议 各 位 安 全 从 业 人 员 也 采 用 这 样 的 方 法 来 检 查 系 统 中 M D 5 和 S H A - 1 应 用 的 安 全 性 ， 如 果 有 需 要 的 话 ， 最 好 将 哈 希 算 法 替 换 成 更 加 安 全 的 B L A K E 2 。 如 果 你 使 用 的 是 X . 5 0 9 证 书 ， 那 么 请 确 保 使 用 S H A - 2 5 6 作 为 你 的 签 名 算 法 ， 而 不 要 再 使 用 S H A - 1 了 。 除 此 之 外 ， 类 似 C h r o m e 这 样 的 W e b 浏 览 器 会 将 那 些 使 用 S H A - 1 的 域 名 证 书 标 记 为 “ I n s c u r e ” （ 不 安 全 ） 。 总 结 总 结 实 际 上 ， 安 全 研 究 人 员 早 在 2 0 0 5 年 就 已 经 对 外 宣 称 M D 5 和 S H A - 1 从 理 论 上 来 说 是 可 以 被 破 解 的 ， 但 是 很 多 开 发 者 仍 然 没 有 将 S H A - 1 升 级 为 S H A - 2 ， 并 且 还 在 继 续 使 用 这 种 不 安 全 的 哈 希 算 法 ， 因 为 他 们 不 愿 意 牺 牲 网 络 服 务 的 速 度 和 效 率 来 换 取 更 高 的 安 全 性 。 但 是 现 在 他 们 就 没 有 任 何 理 由 继 续 使 用 S H A - 1 了 ， 因 为 B L A K E 2 的 速 度 比 S H A - 1 更 快 。 当 然 了 ， 你 也 可 以 选 择 S H A - 3 ， 但 无 论 如 何 你 都 应 该 将 S H A - 1 从 你 的 系 统 中 永 久 移 除 。 *   参 考 来 源 ： k u d e l s k i s e c u r i t y ，   F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理