Kann eine Datei böswillig so geändert werden, dass ihr ursprünglicher SHA-1-Hash erhalten bleibt?

Question 1

Für SHA-1 ist dies bisher noch niemandem gelungen. Theoretisch ist es möglich, aber praktisch noch nicht. Die Berichte über Sicherheitslücken bei SHA-1 bedeuten lediglich, dass das Sicherheitsniveau nicht so hoch ist, wie wir es gerne hätten, und das bedeutet, dass wir nicht mehr so viele Jahre Zeit haben, bevor wir uns darüber Sorgen machen müssen, wie wir dachten.

Es ist schwieriger, eine Datei mit demselben SHA-1-Hash wie eine vorhandene Datei zu erstellen, als selbst zwei Dateien mit demselben SHA-1-Hash zu erstellen. Und soweit wir wissen, hat noch niemand auf der Welt diese einfachere Aufgabe bewältigt. Das heißt aber nicht, dass es morgen nicht möglich sein kann.

Answer

Für SHA-1 ist dies bisher noch niemandem gelungen. Theoretisch ist es möglich, aber praktisch noch nicht. Die Berichte über Sicherheitslücken bei SHA-1 bedeuten lediglich, dass das Sicherheitsniveau nicht so hoch ist, wie wir es gerne hätten, und das bedeutet, dass wir nicht mehr so viele Jahre Zeit haben, bevor wir uns darüber Sorgen machen müssen, wie wir dachten.

Es ist schwieriger, eine Datei mit demselben SHA-1-Hash wie eine vorhandene Datei zu erstellen, als selbst zwei Dateien mit demselben SHA-1-Hash zu erstellen. Und soweit wir wissen, hat noch niemand auf der Welt diese einfachere Aufgabe bewältigt. Das heißt aber nicht, dass es morgen nicht möglich sein kann.

Question 2

Theoretisch wäre es möglich, aber bisher wurde es noch nicht umgesetzt.

Was Sie suchen, nennt sich „Hash-Kollision“: zwei Dateien mit demselben Hash. Kryptografische Hash-Codes wie SHA-1 sind im Allgemeinen so konzipiert, dass dies schwierig ist. Da SHA-1 ein 160-Bit-Code ist, sind im Durchschnitt 2^159 Brute-Force-Versuche erforderlich, um ein Duplikat zu finden. Wenn ein Algorithmus gefunden wird, der bei einem kryptografischen Hash zuverlässig besser abschneidet, gilt der Hash als „gebrochen“.

MD-5 ist ein Beispiel für einen sehr fehlerhaften Hash. Er sollte eine Stärke von 128 Bit haben und im Durchschnitt 2^127 Versuche erfordern. Wenn bekannte Schwachstellen ausgenutzt werden, kann die tatsächliche Anzahl der erforderlichen Versuche jedoch nur 2^47 betragen. Das ist VIEL weniger als 2^127. Tatsächlich wurde dies auf einem modernen Computercluster in weniger als einem Tag erledigt.

Ich gebe dieses Beispiel, weil es Ihrer Vorstellung von SHA-1 am nächsten kommt. Dies ist jedoch nicht der gängigste Ansatz der Kryptoanalyse, um sicherzustellen, dass Hashes nicht geknackt werden. Normalerweise lassen sie eine Kollision zwischen zwei Dateien zu, die der Angreifer auswählt, anstatt dass Sie eine Datei auswählen und der Angreifer versucht, sie zu vergleichen. Diese Art von Angriff hat den Vorteil, dass er leichter zu vergleichen ist. Wenn ich feststelle, dass es „schwer“ ist, Ihre Datei zu knacken, bedeutet das dann, dass eine andere Datei ähnlich stark ist? Dieser Angriff, bei dem der Angreifer beide Dateien auswählen kann, stellt sicher, dass wir das Schlimmste vom Schlimmsten abfangen.

Diese Art von Angriff ermöglicht einen interessanten Trick, bekannt als "Geburtstagsangriff." Kurz gesagt: Durch die Verwendung des Geburtstagsangriffs wird die Stärke des Algorithmus halbiert, sodass SHA-1 (im Durchschnitt) 2^80 Versuche und MD5 (im Durchschnitt) 2^64 Versuche erfordert. Dies ist die Hälfte von 160 bzw. 128.

SHA-1 hat bekannte Angriffe, die seine Stärke von 2^80 auf 2^69 verringern. Das wird Ihnen nicht viel ausmachen. 2^69 Versuche sind einlangZeit.

Aus der Vergangenheit wissen wir jedoch, dass Hash-Algorithmen nicht spontan, sondern mit der Zeit kaputt gehen. Niemand knackt einen Algorithmus wie MD-5 und bringt ihn über Nacht von 2^64 auf 2^47. Das passiert mit der Zeit, wenn viele Leute Artikel über die Mathematik veröffentlichen, die sie gegen den Algorithmus verwenden. Normalerweise kann man beobachten, wie die Komplexität der Angriffe von Beginn des Algorithmus an langsam abnimmt (wobei der beste Angriff normalerweise der Birthday-Angriff ist).

Die Tatsache, dass wir einige Änderungen bei den Kollisionen beobachten, deutet darauf hin, dass SHA-1 das Licht am Ende des Tunnels sieht. Es ist immer noch stark, aber es besteht möglicherweise der Wunsch, auf das neueste SHA-3 umzusteigen, das derzeit viel sicherer ist.

Sie sollten solche Entscheidungen wirklich aus der Perspektive eines Bedrohungsmodells treffen. Wie viel Schaden kann ein Angreifer anrichten, wenn er eine dieser Kollisionen erlebt? Sind Ihre Angreifer Script-Kiddies mit Zugriff auf ein paar Laptops oder Regierungen mit ganzen Supercomputer-Clustern? Wie groß ist das Zeitfenster, das einem Angreifer zur Verfügung steht, um den Hash zu knacken, bevor er nutzlos wird (viele Anwendungen der Kryptografie beinhalten einen „Wachwechsel“, wie z. B. eine Passwortrotation). All diese Faktoren beeinflussen, wie ernst Sie Kollisionen nehmen müssen.

Answer