2月23日，美国谷歌公司安全研究团队宣布通过哈希碰撞，在国际上首次利用非穷举方案成功破解一代安全哈希算法（SHA-1）。该破解将对政府、银行及军事部门等机构内众多采用SHA-1加密机制的计算机系统造成严重影响，值得关注。

一、基本情况

哈希算法由美国国家安全局设计，并得到美国联邦信息处理标准认证，可以针对任何电子文件和内容生成一串长度固定的唯一字符串（即哈希值），用于检验文件和内容是否被篡改。SHA-1加密机制广泛用于互联网环境下的安全认证，例如网银交易、涉密文件传输、受信任环境下通信等。

此次谷歌通过攻击算法，成功创建了两份具有相同哈希值的不同文件，这就意味着一个有效电子签名用于不同文件，诸如网银转账等交易的唯一性和真实性将无法核实，终结了哈希算法的安全神话。谷歌通过有效的攻击算法，实现了有限时间内的破译，其计算量对应于穷举攻击的计算量约为900万兆（即9×10¹⁸）次。谷歌为了互联网系统安全，将延后90天公布攻击技术细节。

二、影响分析

虽然密码领域当前已经有更加安全的SHA-256和SHA-3等加密方案，但在短时间内，仍采用SHA-1加密机制的众多设备仍难以更换为更安全的加密机制。SHA-1被破解，将使得大量终端受到威胁，极易造成安全事故。

首先，众多网络设备将成为潜在攻击对象。目前，世界上仍有大量终端使用SHA-1加密机制的操作系统、老旧浏览器及应用程序。SHA-1的破解，将使得这些终端的文件防篡改验证形同虚设，黑客很容易伪造交易认证文件、银行证书，甚至政府公文签名等，造成严重的经济损失或失泄密问题。

其次，各国部分军用设备和终端将处于不安全状态。当前世界不少军用终端和软件，包括但不限于现有军用网络终端、战场数据链系统、单兵手持终端等的加密方案采用或源于SHA-1。由于谷歌公司安全部门还承担美军网络部队的训练培训和人才输送工作，有理由相信美军方已获取破解方案，将给这些军用终端带来极大的安全隐患。

来源：谷歌网站/图片来自互联网

中国国防科技信息中心  高原

如需转载请注明出处：“国防科技要闻”（ID：CDSTIC）

觉得不错，请点赞↓↓↓