Den 23. februar 2017 kunngjorde forskningsinstituttet CWI i Amsterdam sammen med Google at de hadde funnet den f\u00f8rste praktiske kollisjonen for hashfunksjonen SHA-1. Angrepet fikk navnet SHAttered. For f\u00f8rste gang fantes det to forskjellige filer som ga n\u00f8yaktig samme SHA-1-verdi, laget med vilje og dokumentert offentlig. Det som lenge hadde v\u00e6rt en teoretisk bekymring, var n\u00e5 et konkret faktum.<\/p>\n
Resultatet var ikke bare en akademisk kuriositet. Det fungerte som et tydelig signal til hele bransjen om at SHA-1 ikke lenger kunne brukes der sikkerheten avhang av at hashen var unik. Denne artikkelen forklarer hva en kollisjon er, hva forskerne faktisk demonstrerte, hvor mye arbeid det krevde, og hvilke konsekvenser det fikk.<\/p>\n
En kryptografisk hashfunksjon skal lage et kort, fast avtrykk av data. Et av de viktigste kravene er kollisjonsmotstand: det skal v\u00e6re praktisk umulig \u00e5 finne to ulike meldinger som gir samme hash.<\/p>\n
En kollisjon oppst\u00e5r n\u00e5r to forskjellige inndata likevel ender p\u00e5 den samme hashverdien. I teorien finnes det alltid kollisjoner, fordi det er uendelig mange mulige meldinger, men bare et endelig antall mulige hashverdier. Poenget med en god hashfunksjon er ikke at kollisjoner er umulige \u00e5 eksistere, men at de skal v\u00e6re umulige \u00e5 finne innenfor rimelig tid og ressurser.<\/p>\n
N\u00e5r noen f\u00f8rst klarer \u00e5 finne en kollisjon, faller en grunnleggende antakelse bort. Tenk p\u00e5 et system som stoler p\u00e5 at hashen identifiserer innholdet entydig. Hvis en angriper kan lage to filer med samme hash, kan han vise frem den harml\u00f8se filen for \u00e5 f\u00e5 en godkjenning, en signatur eller et sertifikat, og deretter bytte den ut med den skadelige filen som har akkurat samme hash. Mottakeren som bare sjekker hashen, ser ingen forskjell. Dette er kjernen i hvorfor en kollisjon undergraver tillit: avtrykket er ikke lenger et p\u00e5litelig bevis p\u00e5 hva innholdet faktisk er.<\/p>\n
SHAttered besto av to PDF-filer. De to filene var forskjellige. De hadde ulikt synlig innhold, men de delte den samme SHA-1-verdien:<\/p>\n
38762cf7f55934b34d179ae6a4c80cadccbb7f0a\n<\/code><\/pre>\nBegge filene ga alts\u00e5 dette ene avtrykket n\u00e5r man kj\u00f8rte SHA-1 over dem. Samtidig var de fullstendig forskjellige under en sterkere funksjon: kj\u00f8rte du SHA-256 over de samme to filene, fikk du to ulike verdier. Det er en viktig presisering. Det var SHA-1 som ble knekt, ikke SHA-256. SHA-256 skilte tvert imot de to filene fra hverandre uten problemer, slik en trygg hashfunksjon skal.<\/p>\n
De to dokumentene kan du laste ned og kontrollere selv:<\/p>\n