一、基本情況
哈希算法由美國國家安全局設(shè)計(jì)，并得到美國聯(lián)邦信息處理標(biāo)準(zhǔn)認(rèn)證，可以針對任何電子文件和內(nèi)容生成一串長度固定的唯一字符串（即哈希值），用于檢驗(yàn)文件和內(nèi)容是否被篡改。SHA-1加密機(jī)制廣泛用于互聯(lián)網(wǎng)環(huán)境下的安全認(rèn)證，例如網(wǎng)銀交易、涉密文件傳輸、受信任環(huán)境下通信等。
此次谷歌通過攻擊算法，成功創(chuàng)建了兩份具有相同哈希值的不同文件，這就意味著一個(gè)有效電子簽名用于不同文件，諸如網(wǎng)銀轉(zhuǎn)賬等交易的唯一性和真實(shí)性將無法核實(shí)，終結(jié)了哈希算法的安全神話。谷歌通過有效的攻擊算法，實(shí)現(xiàn)了有限時(shí)間內(nèi)的破譯，其計(jì)算量對應(yīng)于窮舉攻擊的計(jì)算量約為900萬兆（即9×1018）次。谷歌為了互聯(lián)網(wǎng)系統(tǒng)安全，將延后90天公布攻擊技術(shù)細(xì)節(jié)。
二、影響分析
雖然密碼領(lǐng)域當(dāng)前已經(jīng)有更加安全的SHA-256和SHA-3等加密方案，但在短時(shí)間內(nèi)，仍采用SHA-1加密機(jī)制的眾多設(shè)備仍難以更換為更安全的加密機(jī)制。SHA-1被破解，將使得大量終端受到威脅，極易造成安全事故。
首先，眾多網(wǎng)絡(luò)設(shè)備將成為潛在攻擊對象。目前，世界上仍有大量終端使用SHA-1加密機(jī)制的操作系統(tǒng)、老舊瀏覽器及應(yīng)用程序。SHA-1的破解，將使得這些終端的文件防篡改驗(yàn)證形同虛設(shè)，黑客很容易偽造交易認(rèn)證文件、銀行證書，甚至政府公文簽名等，造成嚴(yán)重的經(jīng)濟(jì)損失或失泄密問題。
其次，各國部分軍用設(shè)備和終端將處于不安全狀態(tài)。當(dāng)前世界不少軍用終端和軟件，包括但不限于現(xiàn)有軍用網(wǎng)絡(luò)終端、戰(zhàn)場數(shù)據(jù)鏈系統(tǒng)、單兵手持終端等的加密方案采用或源于SHA-1。由于谷歌公司安全部門還承擔(dān)美軍網(wǎng)絡(luò)部隊(duì)的訓(xùn)練培訓(xùn)和人才輸送工作，有理由相信美軍方已獲取破解方案，將給這些軍用終端帶來極大的安全隱患。
來源：谷歌網(wǎng)站/圖片來自互聯(lián)網(wǎng)
