SHA-1(安全哈希算法)在许多加密安全协议中广泛使用，包括TLS和SSL、PGP、SSH、S/MIME和IPsec，通常我们在从网上下载一些镜像和重要文件的时候(甚至软件自更新时的校验)，也会比对MD5和SHA-1值。
谷歌在周四宣布，完成了真实世界的第一次碰撞攻击，创造了两个SHA-1完全相同的PDF文件。此举意味着，SHA-1从2005年开始就被质疑到如今正式要摇摇欲坠。
科学家称，预计在明年，只需花费17万美元购买云计算服务(2015年时70万美元)，就可以全网破解SHA-1。
当然，本次碰撞攻击的计算量相当于单CPU连续处理6500年再加上GPU连续处理110年，现在还没有单一黑客可以搞定。
对于普通用户，其实意义不大，关键是网站管理员和开发人员能尽快转移到SHA-2(如SHA-256)或者SHA-3。
在外部支持方面，微软Edge和Internet Explorer已于月初放弃SHA-1签署的TLS证书，Mozilla今年7月1日停止，Chrome 56会对SHA-1加密认证的HTTPS的网页提示不安全。
另外值得一提的是，我国还有百万的Windows XP SP2用户，但该系统完全不支持SHA-2。
作者：万南
来源：51CTO
时间： 2024-10-30 05:33:15