（原标题：SHA-1安全加密演算法遭破 谷歌发布实例）
虽然SHA-1加密哈希函数早就被曝出不安全，但其依然被广泛应用于文档、表格、音乐MP3、PDF、执行文件或其他任何文件的数字证书系统中。然而现在荷兰CWI研究所与谷歌研究人员表示，已经通过实测证实他们已经破解了SHA-1哈希算法。他们将其称为：“这是生成SHA-1碰撞的首次实例”。
在加密学中，“碰撞”是指能够生成同样的哈希值，进而能够使得攻击者欺骗系统，接收恶意文件并替代无害文件的行为。简言之，就是你收到的文档，可能被替换成包含病毒木马的恶意文档。
研究人员将这种攻击称之为“SHAttered”，通过SHAttered技术，可以实现对文档签名、HTTPS证书、版本控制、备份系统、软件更新，ISO校验和等使用SHA-1加密算法的攻击。例如，可以构造两个哈希值一样但内容不同的PDF文件，达到欺骗受害者的目的。
SHA-1哈希碰撞被证实
目前，SHA-1已经实施了20多年，早在2005年某大学教授就实现了快于暴力破解的攻击技术。2005年的攻击能够在2的69次方计算中找到碰撞，或者说是暴力破解的2000倍。此次CWI和谷歌的方法，则“超过暴力破解的10万倍。”因此被称为入侵SHA-1加密算法数字签名的“首次可行性技术”。
“暴力破解需要1200万年的GPU计算时间，因此是不实际的。而SHAttered攻击要快上10万倍。攻击需要超过90亿亿次计算，等同于6500年的单个CPU时间和110年的单个GPU时间。”
很早以前，业界就在尝试加速废除SHA-1的进程。但将其废除会导致用户发生一些兼容性的问题，因此尽管SHA-1不够安全，这么多年还一直在用。但研究人员寄望于这次破解，能够极大的推动废除SHA-1。
这次针对SHA-1的攻击实例，将最终迫使业界确信要尽快使用更安全的替代算法，如SHA-256。对于安全从业者来说，迁移到SHA-256和SHA-3的加密哈希算法，是前所未有的紧迫。因为，SHA-1已不再安全。
谷歌研究小组表示，他们将等待90天，然后再发布攻击代码，这与谷歌的漏洞披露政策相符合。同时，他们还将向公众提供一个免费检测系统。研究小组还表示，已经给Gmail和GSuite产品添加了检测PDF碰撞技术的保护。
谷歌于今年1月份，就将SHA-1证书从它的Chrome浏览器中剔除。Mozilla也早就表示，将在今年迟早从它的火狐浏览器中将其移出。遵循CA/Browser Forum规范的证书机构(CA)也不再被允许发放SHA-1证书。
本文属于原创文章，如若转载，请注明来源：SHA-1安全加密演算法遭破 谷歌发布实例http://safe.zol.com.cn/628/6286483.html
本文来源：中关村在线
责任编辑：
王晓易_NE0011
