Algorytm funkcji skrótu SHA-1 od wielu lat nie można już być uznawać za bezpieczny. Choć wielokrotnie i na rożne sposoby udało się już doprowadzić w nim do kolizji, to jednak w ciągu ostatnich lat nadal wymagało to relatywnie dużego nakładu środków. Niestety, choć ze wzrostem wydajności komputerów koszty wynajęcia klastra pozwalającego na spowodowanie kolizji w SHA-1 z roku na rok tanieją, to algorytm wciąż jest w użyciu.
Powolny koniec SHA-1
Już w 2005 r. udało się dokonać pierwszej kolizji w SHA-1 za pomocą mniej niż 280 operacji. Dziesięć lat później opublikowano zaś informację o ataku SHApenning, w którym częściowej kolizji udało się dokonać dzięki 257 próbom, co w zasadzie przekreśliło bezpieczeństwa SHA-1 – koszt wynajęcia takiego klastra szacowano wówczas na od 75 do 120 tys. dolarów, co miało być w finansowym zasięgu grup hakerskich, nie wspominając już o agencjach rządowych. Wzrost mocy obliczeniowej skutkował systematycznym spadkiem cen mocy obliczeniowej potrzebnej do złamania SHA-1 i dziś jest ona wyceniana na około 50 tys. dolarów.
Nadchodzą zmiany w OpenSSH
Według kierownictwa OpenSSH jest już to kwota na tyle niska, że SHA-1 nie może być wciąg obsługiwane. W rezultacie w nocie wydawniczej udostępnionego przed kilkoma dniami OpenSSH 8.3 zapowiedziano, że w kolejnym dużym wydaniu domyślnie nie będzie już obsługiwany podpis klucza publicznego sha-rsa. Twórcy SSH zalecają używania zamiast niego algorytmów RFC8332 RSA SHA-2, ssh-ed25519 i RFC5656 ECSA. Zdają sobie jednak sprawę, że SHA-1 jest niestety wciąż wykorzystywane na dużą skalę. Dość wspomnieć, że jeszcze w lutym 2019 roku Ministerstwo Cyfryzacji informowało, że podpisy kwalifikowane złożone z użyciem ważnych certyfikatów i przy wykorzystaniu algorytmu SHA-1 pozostaną ważne.
Jakie będą konsekwencje?
Dobre wieści są takie, że konsekwencje zmian w OpenSSH nie tak odczuwalne, jak mogłoby się wydawać – nie zachodzi bowiem konieczność ponownego generowania kluczy, gdyż wykorzystywane aktualnie ssh-rsa zapewnia kompatybilność zarówno z rsa-sha2-256, jak i rsa-sha2-512. Nie oznacza to jednak, że wszystko odbędzie się całkowicie bezboleśnie – w przypadku urządzeń, które nie obsługują RFC8332 RSA/SHA-2 i innych nowszych rodzajów kluczy konieczna może być dodatkowa konfiguracja. W innym wypadku spotkamy się z odmową połączenia przez SSH.
Więcej informacji na temat zapewnienia kompatybilności znaleźć można w dokumentacji OpenSSH.
