Forscher von Google und der Universität Amsterdam haben im Projekt SHAttered einen Weg gefunden, gezielte SHA-1-Kollisionen durchzuführen. Dadurch wird der Prüfsummen-Algorithmus, der zur Sicherung der Integrität von Daten verwendet wird, endgültig unsicher. Spätestens seit 2005 galt er als nicht mehr zukunftssicher.
SHAttered
Im Rahmen des „SHAttered“ (englisch für „zerbrochen“) genannten Forschungsprojekts[1] wurden durch Google 6500 CPU-Jahre und 100 GPU-Jahre Rechenleistung verwendet, um einen Angriff auf die Hashfunktion durchzuführen. In der Folge wurden verschiedene Dateien, in diesem Fall PDF-Dokumente, erstellt, die die gleiche SHA-1-Hashsumme abbildeten. Genau das muss bei einen sicheren Hashverfahren unmöglich sein, dienen diese Prüfsummen doch dazu, die Identität und Unverfälschtheit einer Datei zweifelsfrei feststellen zu können.[2] 90 Tage nach der Veröffentlichung der gelungenen Kollision will Google eine Software veröffentlichen, mit der sich jeder Nutzer eine gezielte Kollision berechnen kann. Spätestens bis dahin sollten dringend alle bestehenden SHA-1-Implementierungen auf einen zukunftssicheren Algorithmus umgestellt werden.
Totgesagte leben zu lange
Dass SHA-1 nicht mehr lange sicher sein würde, stand spätestens 2005 fest, als chinesische Forscher einen theoretischen Angriff auf den Algorithmus entwickelt hatten.[3] Dennoch wird SHA-1 bis heute in sicherheitsrelevanten Kontexten verwendet, etwa in alten TLS-Zertifikaten oder der freien Software-Versionsverwaltung git.[4] Ebenso wie die noch weniger sichere Hashfunktion md5 wurde SHA-1 wegen der schnellen Berechnungszeit trotz aller Sicherheitsbedenken weiter verwendet. Spätestens mit dem Hash-Algorithmus BLAKE2 ist dieses Argument aber hinfällig – dieser ist schneller und sehr viel sicherer als md5 oder SHA-1.[5]
[2] https://www.heise.de/newsticker/meldung/Todesstoss-Forscher-zerschmettern-SHA-1-3633589.html?wt_mc=rss.ho.beitrag.atom
[3] https://www.golem.de/0502/36355.html
[4] https://www.golem.de/news/kollissionsangriff-hashfunktion-sha-1-gebrochen-1702-126355.html
