自 1995 年以来，SHA-1 一直是最广泛使用的密码哈希函数之一。然而，过去十年来密码分析的重大进展引发了对其安全性的怀疑。在本文中，我们将探讨 SHA-1 的背景，其漏洞，向较新的算法（如 SHA-2）的过渡以及 SHA-1 是否仍然可以被认为是安全的。
介绍
SHA-1或安全散列算法 1 是一种用于生成数据的简化表示以供安全应用程序使用的散列函数。过去，它曾广泛用于数字签名、版本控制系统和其他需要数据完整性保证的用例。然而，研究人员已经证明了 SHA-1 的理论弱点，并且随着时间的推移，该算法已经容易受到实际碰撞攻击的影响。这导致人们转向更强大的函数，如 SHA-2。但是，一些应用程序仍然依赖于 SHA-1，这引发了一个问题-在特定的用例中，SHA-1 是否仍被认为足够安全？
SHA-1 的背景
SHA-1 由国家安全局(NSA)开发，并于 1995 年由 NIST 发布为联邦标准。关于 SHA-1 的一些关键点：
- 生成 160 位的散列值或消息摘要
- 设计用于高效和易于实现
- 结构上类似于 MD5，并基于 Merkle–Damgård 构造
- 快速获得广泛应用，用于 TLS/SSL、PGP、SSH、Git、数字签名等应用
SHA-1 是根据当时的安全要求设计的。它根据 1990 年代可用的计算能力，为恶意攻击提供了合理水平的碰撞抵抗能力。但即使在发布时，它也存在一些已知的弱点。
SHA-1 中的漏洞
过去二十年的密码分析研究揭示了 SHA-1 中的理论和实际漏洞：
理论上的弱点
- 易受长度延展攻击的影响
- 与理想哈希函数相比，碰撞抵抗性较弱
实际攻击
- 安全研究人员在 2005 年证明了 SHA-1 中的碰撞。
- 到 2017 年，已经在真实的 PDF 文档中生成了 SHA-1 碰撞。
- 碰撞攻击破坏了 SHA-1 哈希提供的完整性保证。
- 160 位哈希长度也使得暴力攻击更容易。
这些漏洞表明 SHA-1 开始接近其过期日期，并且很快将不再适用于一般安全用途。
过渡到更安全的哈希算法
为了应对 SHA-1 的弱点，NIST 在 2001 年推出了 SHA-2 系列的改进哈希函数：
像 SHA-3 和 BLAKE2 这样的新一代函数提供了更高的安全性。摒弃 SHA-1 的过渡旨在确保哈希函数提供的完整性和认证保证对抗现代威胁的弹性。
当前状态和建议
许多主要组织已经停止支持 SHA-1 证书和签名。但是某些用例，如版本控制系统仍然依赖它。使用 SHA-1 的风险需要根据应用程序进行评估：
- 对于根证书、代码签名、高价值交易等高度敏感的用例，避免使用 SHA-1。
- 监控仍在使用 SHA-1 哈希的系统，以察觉任何可疑的碰撞。
- 根据风险配置文件，考虑废弃或升级计划到 SHA-2/SHA-3。
- 在迁移之前，测试应用程序对 SHA-1 的依赖，并解决相关问题。
理想情况下，不应再使用 SHA-1 哈希进行新的部署。但是通过适当的风险评估和缓解计划，现有的非关键 SHA-1 使用可能仍然被视为可以接受的。
结论
根据今天的安全标准，SHA-1 已经过时。针对碰撞抵抗和其他已确认的弱点，SHA-1 的已证实的漏洞意味着它不再推荐用于大多数常规的加密用途。
然而，对于低敏感度的用例，缓解控制可能足以限制风险，以继续在旧应用程序中使用 SHA-1。但是新软件应该使用现代哈希函数如 SHA-2 和 SHA-3 来确保未来的完整性保护。总体上，建议在可行的情况下逐步淘汰 SHA-1 以加强网络安全防御。
