ほとんどの専門家は、SHA-1をしばらくの間廃止することを推奨しています。 幸いなことに、ほとんどのWebサイトではSHA-2が使用されています。 SSL.comなどの信頼できる認証局はすべてSHA-1証明書を廃止し、SHA-2を使用しています。
Googleが証明：SHA-1が壊れている
23年2017月XNUMX日、ついに暗号の世界が待ち望んでいた発表がありました。 GoogleとCentrumWiskunde＆Informatica（CWI）アムステルダム、オランダ国民 数学とコンピュータサイエンスの研究所、チームを組んで、 SHA-1 理論から実証済みに移行しました。 チームは 共同声明 Googleのセキュリティブログで、ハッシュ衝突がどのように発生したかを詳しく説明しています。
ハッシュ衝突は、暗号を使用する1つの異なる入力が同じ結果を生成するときに達成され、暗号を事実上脆弱にします。これは、暗号をだます悪意のあるファイルが導入される可能性があるためです。 これまでは、「ブルートフォース」の衝突のみが可能であることが証明されており、SHA-12へのブルートフォース攻撃を完了するにはXNUMX万グラフィックスプロセッシングユニット（GPU）年かかると専門家は推定しています。 力ずくで非現実的になる。 統合されたGoogle / CWIチームはSHA-1の弱点を悪用して、このプロセスを1万倍高速化しました。 これは、SHA-XNUMXが実際には、十分に高度なコンピューティング能力を備えた十分な資金のあるエンティティからの攻撃に対して脆弱であることが証明されていることを効果的に示しています。
グーグルの発表は完全なショックではなかった。 2005年には、中国の山東大学の研究者チームが、 SHA-1で衝突を生成するための実用的な手法。 2013年、Googleのチームの代表であるSHA-1を破ったマークスティーブンスは、 トピックに関する論文 したがって、XNUMX月の発表は時間の問題と見なされてきました。
それで何をすべきか？ 専門家は何年もの間SHA-1を廃止することを推奨しています。 幸い、ほとんどのウェブサイトは現在使用しています SHA-2、テクノロジーの脆弱性の低いバージョン。 を含むすべての信頼できる認証局 SSL.com、SHA-1証明書を廃止し、SHA-2のみを使用します。
