SHA-1 collision dans le hachage

[:fr]

Google et le CWI ont réussi à trouver une collision permettant d’avoir deux fichier PDF différents authentifiés par la même empreinte de signature. Le but de cette attaque était de démontrer la faiblesse de la fonction de hachage SHA-1.

Cette collision testée sur Subversion en déposant les deux fichiers PDF en question a rendu la plate-forme inutilisable, impossible d’accepter tout nouveau code source. Il semble que GitHub ne soit pas affecté mais Linus Torvalds envisage de migrer vers un autre algorithme de hachage.

Google annonce qu’il dévoilera sa méthode dans 90 jours donc tous les sites sensibles utilisant du SHA-1 devront être mis à jour d’ici cette date.

Cette faille affecte un grand nombre d’applications par exemple :

Les certificats
les emails PGP/GPG signature
la signature des softwares et des updates
les systèmes de backup
…..

Explication de la vulnérabilité en vidéo :

Chrome et Firefox considèrent déjà les sites utilisant SHA-1 comme non-sécurisés. Google recommande de passer à SHA-3 ou SHA 256.

Un utilitaire disponible en ligne permet de savoir si un fichier est susceptible d’être affecté par la faille il est disponible à l’adresse suivante :

https://shattered.io/

Cependant, cette attaque à nécessité un grand nombre de ressources soit l’équivalent de 6500 années CPU ou 110 années de GPU.

Pour mémoire, de nombreuses collisions de l’algorithme (déprécié) MD5 avaient également déjà été trouvées par le passé. SHA1 et MD5 ne sont donc plus à utiliser.