Взлом хеш-функций (2004-2006 гг.): как это было и что теперь делать?

    Двое моих знакомых, задавших в течение недели вопросы примерно одинаковые по сути (примерно в духе: «А я слышал, что MD5/SHA-1 уже взломан, почему мы до сих пор их используем ?»), подтолкнули меня к написанию этой заметки, хотя основные события, описываемые ниже, произошли уже более 3 лет назад.

    Общие сведения (специалистам — пропускать без сомнений)


    Как известно, криптографические хеш-суммы отличаются от обычных хеш-сумм тем, что помимо основных свойств, требуемых от любой хеш-функции :
    • способности преобразования входного значения (обычно текста) произвольной длины в выходное значение фиксированной длины,
    • статистической равномерности выпадающих выходных значений,
    • хорошей «разбросанности» (расхождении примерно в половине бит) выходных значений даже для незначительно (возможно только в 1 бите) отличающихся входных текстов;
    к криптографическим хеш-алгоритмам предъявляются дополнительные требования :
    • разрядность выходных значений должна находиться далеко за пределами возможностей полного перебора на современной технике как по скорости обработки, так и по объему хранения (на практике это — разрядность в 128, 160, 256 и более бит);
    • не должно существовать способа (существенно более эффективного, чем полный перебор входных значений) вычислить какую-либо пару входных текстов, дающих на выходе одинаковое хеш-значение (неважно какое) — успешная атака на это требование называется «коллизией» хеш-функции;
    • не должно существовать способа (существенно более эффективного, чем полный перебор входных значений) по значению хеш-функции подобрать какой-либо входной текст, дающий на выходе алгоритма это хеш-значение — успешная атака на это требование называется «обращением» хеш-функции.
    Три перечисленных выше требования к криптостойким хеш-функциям превращают их по факту в идентификаторы фиксированной длины для текстов, файлов и вообще произвольных блоков информации. При этом эти идентификаторы:
    1. уникальны на всем просторе современного информационного общества;
    2. необратимы, то есть не раскрывают абсолютно ничего о содержании исходного документа.
    Это позволяет использовать хеш-функции в задачах:
    • проверки целостности файлов, архивов, сборок и т.п. (достаточно доверенно передать получателю хеш-сумму файла и тогда любые несанкционированные изменения в файле немедленно изменят его контрольную хеш-сумму);
    • хранения паролей в необратимом виде (в хранилище помещаются не сами пароли, а хеш-суммы от строки, например, вида «константа (соль)»+«пароль», что позволяет при раскрытии хеша сохранить собственно словарную парольную фразу в секрете);
    • электронно-цифровой подписи документов (собственно ЭЦП устанавливается всегда не на сам файл, что во-первых, было бы очень медленно, и во-вторых, несло бы некоторые проблемы с безопасностью самого ключа подписи, а на его хеш-сумму, обеспечивая точно такой же уровень защиты от модификаций).
    На сегодняшний день подавляющую долю применений хеш-функций «берут на себя» алгоритмы MD5, SHA-1, SHA-256, а в нашей стране еще и ГОСТ Р 34.11-94, являющийся де факто практически монополистом в сертифицированных ФАПСИ/ФСБ криптопродуктах. Конечно, существует и множество других менее известных, или распространенных только в узких сообществах алгоритмов (например, RIPEMD, TIGER, PANAMA и др.)

    Что же произошло?


    Достаточно долгое время (с середины 1990-х годов) уходящее поколение криптографических функций считалось весьма и весьма стойким. И хотя в основе и MD5 и SHA-1 лежали идеи, заложенные в алгоритме MD4, который был взломан в начале 1990-х, улучшения предпринятые на этапе проектирования (а именно, увеличение количества проходов (раундов) при вычислении хеш-значения и более тщательная проработка применяемых математических операций) привели к тому, что вплоть до 2004 года семейство считалось неуязвимым к любого рода атакам.

    Гром среди ясного неба прозвучал 16 августа 2004, когда группа китайских исследователей (под руководством X.Wang) опубликовала на открытом сервере научных публикаций eprint.iacr.org безо всяких объяснений пары реальных коллизий для MD4, MD5, RIPEMD и HAVAL с единственным замечанием о том, что подбор этих входных текстов занял у них 1 час 5 минут. Это было взрывом. Сильнейшие криптографы вновь обратили свое внимание на семейство «MD5/SHA-1» и конечно на примеры, приведенные в прорывной статье. Определенные закономерности были выяснены, и вскоре уже был построен методический аппарат построения коллизий к подобным шифрам, который на протяжении 2004-2006 всё совершенствовался и достиг на сегодняшний день быстродействия менее секунды на обычном персональном компьютере для генерации пары текстов, создающих коллизию. На сегодняшний день бесспорно взломаны (но только по атаке класса «коллизия» !) MD4, MD5, RIPEMD, HAVAL, SHA-0.

    С SHA-1 ситуация несколько иная. Несколько более продуманная чем у MD5 и RIPEMD-160 структура математических преобразований ограничивает лучшую из известных на сегодняшний день в открытых кругах реализаций атаки (предложенной, кстати, теми же китайцами) вычислительной трудоемкостью 2^63 операций. Это объективно много. Даже с учетом экспоненциального роста производительности выч.техники вряд ли подбор хотя бы одной коллизии будет осуществим одним компьютером в ближайшие двадцать лет. Однако, не забываем, что существуют распределенные проекты. Здоровые амбиции (получить первую искусственную коллизию для SHA-1, кстати официально являющегося стандартом криптохеширования в США) подтолкнули исследователей из Университета Граца (Австрия) запустить распределенный поиск на сервере boinc.iaik.tugraz.at, оптимистичные прогнозы ожидают первую SHA-1 коллизию в ближайшие 5 лет.

    И наконец, вопрос, который затрагивается всегда при обсуждении этой методики — уязвим ли к этой атаке ГОСТ Р 34.11-94? Ответ: нет. Отечественный криптостандарт использует иную схему «замешивания» блоков исходного текста при хешировании, поэтому на сегодняшний день описанные методики для ГОСТа применить не удалось. Наилучшая из известных атак (вызвавшая правда несколько ажиотажных заголовков в СМИ в 2008) предложена исследователями из того же Граца и улучшает процесс подбора коллизий в 2^23 раз. Она основана на другом принципе и имеет вычислительную сложность 2^105 операций, что неимоверно далеко от реальности даже для распределенных проектов и суперкомпьютеров.

    Последствия


    Что мы имеем «в сухом остатке»?

    Криптоалгоритмы MD4, MD5, SHA-1, RIPEMD, HAVAL однозначно скомпрометированы в отношении атак генерации коллизий. Однако (!) к счастью, ни одной физически реализуемой атаки на обращение хеш-функций (даже для MD4) на сегодняшний день не опубликовано.

    Чем это грозит ?

    Злоумышленник имеет возможность создать два разных документа, у которых будет одинаковое хеш-значение (при этом он не имеет возможности «контролировать» какое именно значение получится). Это означает, что создать «двойника» к уже существующему чужому документу/тексту/файлу он не может. Контролирует ситуацию он только в том случае, когда может конструировать и первый и второй документы сам.

    Может ли злоумышленник… ?
    • … создать другой файл/архив/т.п., который будет иметь ту же хеш-сумму, что и чужой оригинальный, чтобы потом заменить им оригинальный, например, на WEB-сервере или в репозитории исходных/двоичных кодов ? Нет. Однако, если он является автором оригинального файла, он может создать две версии файла с одинаковой хеш-суммой: безобидную и вредоносную, отдать на публичное изучение безобидную, а затем на этапе распространения незаметно менять версию на вредоносную — проверка на основе только хеш-функции этого не заметит.
    • … восстановить пароль клиента, выяснив тем или иным способом его хеш ? Однозначно, нет.
    • … модифицировать ранее созданный файл (свой или чужой), защищенный ЭЦП ? Нет. Однако, как и в первом случае он может изначально создать две версии исходного файла, подписать одну из них своей ЭЦП или отдать на подпись чужой ЭЦП (например, при депонировании документов третьей стороной или заверении времени создания документа), а затем после получения подписанного документа перенести блок, отвечающий за подпись, на вторую версию документа и ЭЦП окажется корректной, что конечно неприемлемо. На сегодняшний день, криптоаналитики уже продемонстрировали примеры коллизий платежных поручений, отличающихся лишь суммой платежа, а также коллизий X.509 сертификатов, имеющих разные открытые ключи, однако, одинаковые хеш-суммы, а следовательно и одинаковые заверяющие их подписи центров сертификации. Все это дает к сожалению достаточно большой простор для фантазии.

    Чем пользоваться сегодня ?


    1. Из широко известных достаточно давно хеш-алгоритмов на сегодняшний день нет никаких претензий к ГОСТ Р 34.11-94 (разработчик ФАПСИ, 1995) и TIGER (разработчики — криптографы с мировым именем Э.Бихам и Р.Андерсон, 1995).
    2. Новое поколение алгоритмов SHA от американского института стандартизации NIST (2001-2002 годы) имеет новую нумерацию SHA-224, SHA-256, SHA-384, SHA-512 (от разрядности выходных значений) и иногда объединяется под общим кодовым названием SHA-2. Алгоритмы имеют иную структуру криптопреобразований и пока информации об атаках на них ни первого ни второго рода не поступало.
    3. Не удовлетворившись этим NIST запустил в 2007 году открытый конкурс на стандарт хеширования третьего поколения SHA-3 (в точности повторяющий по своим принципам то, как выбирали в 2000 году новый стандарт блочного шифрования AES). На текущий момент идет только первая фаза конкурса, до участия в ней допущен 51 алгоритм со всего света.
    4. Ну и напоследок, в принципе никто не запрещает Вам использовать для проверки две и более уязвимых функций одновременно. Создание пары документов, которые одновременно бы давали одинаковые между собой MD5-суммы и одинаковые между собой SHA-1 суммы, на сегодняшний день невозможно.
    Share post

    Comments 128

      +20
      Ну хоть теперь параноики поуспокоятся =)
        +42
        Этого не будет никогда! Мы не сдадим своих позиций, большой брат не дремлет.
          0
          да мало ли причин ;) «Но тем не менее, обоснованные опасение могут вполне превратиться в заболевание.»… z✡g/жоп или nhk ;)
          +2
          Однако, если он является автором оригинального файла, он может создать две версии файла с одинаковой хеш-суммой: безобидную и вредоносную, отдать на публичное изучение безобидную, а затем на этапе распространения незаметно менять версию на вредоносную — проверка на основе только хеш-функции этого не заметит.


          Так и думал что Google Chrome и Android с трояном распространяются… :)
            0
            Выживают только параноики
              0
              Если у вас паранойя — это еще не значит что за вами ни кто не следит =) (с) видимо «народ»
                +4
                Европейские криптологи нашли уязвимость в ГОСТ Р 34.11-94

                Конференция Crypto 2008 продемонстрировала значительный прогресс криптологов в деле анализа и взлома hash-функций. В частности была представлена модель атаки на ГОСТ Р 34.11-94 — российский криптографический стандарт вычисления хэш-функции. Также специалисты продемонстрировали первый практически реализуемый взлом сокращенного варианта SHA-1 методом инверсии, на основе которого можно из хеша вычислить исходный пароль.

                ГОСТ Р 34.11-94 до сих пор считался одним из самых защищенных криптографических стандартов. Но теперь объединенная команда специалистов Технологического Университета из города Граз (Австрия) и Варшавского Военного Технологического университета нашли неожиданную техническую уязвимость и использовали ее для проведения атаки. В результате коллизионная атака завершилась в 2^23 раза быстрее, чем ожидалось. Суть коллизионной атаки заключается в подборе случайной строки, хеш-функция которой совпадает с заданной.

                Для сравнения первая успешная коллизионная атака на SHA-1 уменьшила число требуемых вариантов перебора в 2^11 раз, до 2^69 вместо 2^80. Но ГОСТ Р 34.11-94 пока еще рано сбрасывать со счетов: при результирующей сумме размером 256 бит потребуется 2^105 итераций для полной расшифровки исходной строки. Способности современной вычислительной техники пока не позволяют выполнять вычисления такого уровня в реальные сроки.

                Все известные атаки на хеш-функции, такие как SHA-1 и теперь ГОСТ Р 34.11-94, были коллизионными атаками. Проведение их на практике имеет смысл только в случае цифровой подписи документов, причем если взломщик имеет доступ к не подписанному оригиналу. Использование криптоалгоритмов для других целей, таких как защита паролей, не подвержено влиянию описанной атаки, поэтому организация по стандартам США — NIST продолжает рекомендовать SHA-1 для этих целей.

                Хотя большинство криптоатак пока что представляют чисто теоретическую угрозу, необходимо помнить, что усилия по анализу хеш-функций еще достаточно далеки от адекватных и значительный прорыв в этой области в будущем не может быть исключен. Принимая во внимание ведущийся поиск кандидатуры на стандарт 2012 года SHA-3, задача выбора наилучшей хеш-функции становится как никогда остро.
                0
                Как-то не вяжется: " не должно существовать способа (...) вычислить какую-либо пару входных текстов, дающих на выходе одинаковое хеш-значение" с «Однако, если он является автором оригинального файла, он может создать две версии файла с одинаковой хеш-суммой».
                Я понимаю, что здесь по-сути говорится про обратные по направлению операции, но хеширование-то необратимо! Коллизию можно вызвать только брутфорсом, а брутфорс вовсе не обещает, что в обоих случаях вы получите осмысленный материал.
                  0
                  А иногда осмысленный и не нужен, например, в случае с сертификатами. У вас есть сертификат, подписанный серьезной конторой, по сути он является набором 16-ричных символов, вы можете подобрать другой набор 16-ричных символов, который будет проходить проверку подписи сертификата. Ну это так, кратенько, поверхностно, упрощено =)
                    0
                    Но опять же, как сказано в статье, это возможно только в том случае, когда злоумышленник заранее подготовил первый набор символов, который затем подписал центр сертификации. Насколько я понимаю, это сейчас невозможно.
                      +3
                      Здравствуйте, я ваша тётя. Очень даже возможно :-)
                        +1
                        Да, интересная инфа. Надо будет на досуге почитать и что-нибудь попробовать.
                        Но вообще говоря, про коллизии MD5 знали уже очень давно. Поэтому при генерации ЭЦП используется SHA-1.
                        Кроме того, сертификаты на сервера выдаются сроком на 1-2 года, поэтому думаю, что 99,8% процентов ssl-сертификатов подписаны SHA-1.
                        Думаю, причин для паники нет!
                          0
                          Совершенно неважно каков процент сертификатов, подписанных SHA-1. И совершенно неважно — сколько «ужасных» MD-5. Но пока есть хоть один регистратор принимающий MD-5 — опасность не уменьшается… И, увы, их таки есть…
                      +3
                      И что это будет?
                      Мне нужно совершить следующую атаку на ЭЦП: подменить текст «Private text» на что-то другое.

                      У меня есть возможность перехватить трафик от сервера к клиенту. Надо понимать, что в случае с ЭЦП основной текст вовсе не обязан шифроваться.

                      Что делает сервер: Хеширует «Private Text», шифрует хеш своим закрытым ключом, приклепляет в чистом виде фразу «Private text» и отправляет ее клиенту.

                      Сначала я сообщение перехватываю, открепляю фразу «Private text», ставлю «Hacked text» и шлю дальше. Клиент расшифровывает хеш открытым ключом, хеширует «Hacked text» и сравнивает хеши. Они не совпадают. Не работает.

                      Дальше я снова меняю «Private text» на «Hacked text», подписываю левым ключом, шлю дальше. Клиент не может расшифровать хеш. Снова не работает.

                      Тогда я брутфорсю в следующем виде: расшифровываю открытым ключом сервера хеш, под этот хеш в течении 40 лет подбираю коллизией другой текст, в почтенных годах клиенту вместо «Private text» приходит "!^%*&Bgwuhg36*%^(*r72". Клиент пытается понять, что это за бред, но почтенный возраст и старческий маразм не дают возможности осмыслить бинарный поток. Клиент разочарован.

                      Так где конкретно уязвимость? Коллизия была, есть и будет. Но пока нельзя под что-то осмысленное подобрать что-то другое осмысленное, то это, простите, фигня.
                        +1
                        Но пока нельзя под что-то осмысленное подобрать что-то другое осмысленное, то это, простите, фигня.
                        Я правильно понимаю что сертификат на имя банка, проходящий валидацию в браузерах — «это, простите, фигня»?

                        Вот тут — подробное описание.

                        Генерируются два сертификата:
                        Первый — на фирму «Вася Пупкин и Ко», вполне легальный, не вызывающий подозрений.
                        Второй — неважно на кого, но с флагом, позволяющим подписывать другие сертификаты.

                        Первый сертификат подписывается за положенные $NN (оплата с подарочной карточки), с помощью второго — генерируются «легальные» сертификаты для сотни-другой банков.

                        Атака вполне удалась исследователям, хотя пока неизвестно — применяют ли её фишеры или для них это слишком сложно…
                          +1
                          Если говорить про доверенные центры сертификации из локального хранилища сертификатов ОС, то никто из них не выпустит вам сертификата, позволяющего подписывать другие сертификаты. Даже если он и будет, то он также должен храниться в локальном хранилище сертификатов ОС.

                          Я пока не совсем понял, что удалось исследователям, но насколько понял из прочтенного, то все это про коллизию MD5. А с ней описанный вами сценарий реализовать не получится.
                            0
                            Да, кстати, посмотрите, как устроен сертификат, ну например, здесь: https://bankline.ru/
                            Помимо MD5 хеша имеется и SHA хеш.

                            Поймите, что очень часто хакерские атаки бывают синтетическими. Про коллизию MD5 знали очень давно, поэтому и стали вставлять хеш SHA. А эта хакерская атака может скомпрометировать 0,01% от существующих сертификатов. Это моё личное мнение, основанное на том, чему меня когда-то учили.
                              +2
                              Посмотрите более детальное описание. Там достаточно интересно. Для MD5 нашли способ формирования коллизии с заданным префиксом сообщения. Т.о. формируются дополнительные данные в комментарии и вуаля.
                                0
                                Там атака на ЭЦП, а не на целостность сертификата если что
                                  0
                                  А ЭЦП разве не сертификат подписывает??
                                    0
                                    Сертификат конечно :)
                                    Грубо говоря: ЭЦП связывает некое юридическое лицо и какие то данные. + Контроль целостности. В нашем случае сертификат целостен (не поврежден). Но выпущен другим лицом.
                                      +1
                                      Да, но коллизии позволяют выпустить два сертификата. Один — безобидный, который спокойно подписывается у регистратора, а второй — уже сертификат не для сайта, а сразу для CA (шоб не мелочиться, ага) и на другое лицо (ну это уже опционально).
                                        –2
                                        Сертификат не подписывается регистратором, а выпускается им. На его совести выпустить один или десяток.
                                          +1
                                          Вы идиот или притворяетесь? Регистратор не может создавать сертификат. Иначе он имел бы доступ к соответствующему приватному ключу и мог бы выступать от имени крупных фирм, банков и т.д. Регистратор выступает в роли нотариуса: он заверяет подлинность чужого сертификата. Этот сертификат генерируется по определённым правилам, но его ни при каких условиях не генерирует регистратор.
                                            +2
                                            Видимо, человек просто никогда сам CSR не генерировал, а пользовался веб-интерфейсом когда CSR генерируется на сервере и пользователю отдаётся приватный ключ. Такой интерфейс есть на некоторых CA.
                                              0
                                              Это дополнительная услуга для случаев когда вы готовы довериться регистратору целиком и полностью. Но вы себе представляете ситуацию при которой регистратору (пусть даже крупному — скажем Verysign, стоит где-то 4 миллиарда долларов) принадлежат ключи сотен фирм, каждая из которых — от ста миллиардов долларов и больше? Я — нет.
                                                0
                                                Нет, зато я представляю, когда апплет интернет-банка не подписан и передаётся по http, вместо https, о чём я в саппорт еще два года назад писал.

                                                Когда я снова открыл счёт в этом же банке — ситуация не изменилась и я уж думал написать статью на хабрахабр по поводу реальной реализации MITM-атаки, но через два дня после выдачи мне цифрового сертификата вышла новая версия банк-клиента и она уже подписью обзавелась (хотя и отдаётся по-прежнему по http). Вот и думаю — совпадение это или всё-таки служба безопасности не совсем зря хлеб ест. :-)

                                                Банк, кстати, в числе 20 крупнейших банков России.
                                                  +1
                                                  Ну это всё-таки прокол меньшего порядка. Что касается http/https: если апплет подписан, то использование https безупасность уже не улучшит, но вот то, что апплет выдавался без подписи — это таки явный прокол.

                                                  Это всё пережитки прошлого: я как-то работал по контракту с одной «суръёзной конторой», в которой для доступа к серверу нужно было пройти аж два металлоискателя и предъявить бумагу с разрешением на обоих — но сертификат для всей системы я генерировал в итоге сам на своём личном компьютере ибо у них просто не оказалось специалистов способных это проделать! На металлоискатели и вооружённую охрану деньги нашлись, а на грамотного сисадмина — нет…
                                                    +1
                                                    Я не уверен, что не улучшит, т.к. я не знаю политику браузера и javaws по-умолчанию по отношению к неподписанным аплетам.

                                                    Вопрос из-за того, что MITM по прежнему же может подменить апплет на неподписанный или на подписанный своей подписью (опять вопрос — проверяется ли браузером/javaws источник апплета).
                                                0
                                                Да, верно.
                                                Вылетело из головы по CSR.
                                                Признаю ошибку.
                                                –1
                                                >>Вы идиот или притворяетесь?
                                                Че, нервы ни к черту?

                                                У меня почта подписывается сертификатом от Thawte. Я этот сертификат выпустил себе через веб-интерфейс. Дальше додумай сам.

                                                Когда я 3 месяца назад поднимал на работе CA-сервер и хотел, чтобы мне его кто-нибудь подписал, оказалось, что никто так не делает. Как минимум, у нас в России.

                                                После вашего последнего коммента хочется порекомендовать вам форум журнала хакер. Там много «компетентной» молодежи, подстать вам.
                                                  +1
                                                  >>Вы идиот или притворяетесь?
                                                  Че, нервы ни к черту?
                                                  Да нет — просто было интересно. Теперь ясно — не притворяетесь.

                                                  У меня почта подписывается сертификатом от Thawte. Я этот сертификат выпустил себе через веб-интерфейс. Дальше додумай сам.
                                                  Додумал. Я был таки прав: таких «баобабов» в службе ИТ-безопасности не нужно. Ты фактически дал право Thawte выступать от твоего имени. Для частной переписки обычного человека — это нормальный подход, но если речь идёт о фирме хотя бы среднего размера — это жуткий прокол.

                                                  Когда я 3 месяца назад поднимал на работе CA-сервер и хотел, чтобы мне его кто-нибудь подписал, оказалось, что никто так не делает. Как минимум, у нас в России.
                                                  И за границей не делает. Зачем им плодить конкурентов? Но техническая возможность — имеется. И MD-5 коллизии позволяют такой CA-сервер сделать легальным.

                                                  После вашего последнего коммента хочется порекомендовать вам форум журнала хакер. Там много «компетентной» молодежи, подстать вам.
                                                  Ну о компетентности этой молодёжи можно долго спорить, но то, что там люди более вменяемые, чем вы — однозначно.
                                                    0
                                                    Я этот сертификат выпустил себе через веб-интерфейс.

                                                    Не думаю, что генерация приватного ключа сертификата была сделана на javascript, следовательно, потенциально существует возможность, что ваш ключ утёк.

                                                    Вполне естественно, что сертификат CA вам никто не подписал, т.к. по сути вы получили бы ту же самую возможность представляться любым именем, которая описана в атаке (см. ссылку про rogue CA).
                                                      –1
                                                      Там наверное даже не java. В браузерах есть встроенные модули шифрования, поэтому сами модули генерируют CSR-запрос, после чего на него генерится сертификат.
                                                        +1
                                                        Может быть, но я не уверен.
                                                        Причина моей неуверенности в том, что в webmoney, где используется авторизация по сертификатам, возможность браузером генерировать сертификат не используется.

                                                        Да и вообще в firefox я не нашел кнопочки «создать сертификат» — у вас пруфлинка нет к своим словам?

                                                        Да, и, кстати, java != javascript :-)
                                                          0
                                                          Я думаю, что где-то вот здесь:



                                                          А кнопки на запрос сертификата нет наверняка потому, что для юзера это не надо, браузер сам его сможет сгенерить и отправить.
                                                            +1
                                                            Ох не знаю, не знаю. По хорошему надо в бы RFC посмотреть, как происходит генерация сертификата в таких случаях и как у юзера, которому «не надо», спрашиваю CN и OU.
                                                              0
                                                              Более того — если такая возможность есть в браузере, зачем startcom описывал, как CSR сгенерировать с помощью openssl?
                                                                0
                                                                Да, как раз таки сам StartCom и генерит SSL-сертификат таким образом для логина своих юзеров.
                                                                  0
                                                                  «таким образом» — в браузере? Не знаю, не заметил такой опции.
                                                                    0
                                                                    Ну вот, например, провел эксперимент. Все наглядно:







                                                                      0
                                                                      По-видимому, на втором и третьем скриншоте как раз и показывается работа криптомодуля Firefox.
                                                                        0
                                                                        Да, занятно, спасибо.
                                                                        Надо будет на досуге поковырять, как оно работает.
                                                          +1
                                                          Что-то я не понял. А зачем вам понадобилось доверять генерацию секретного ключа сторонней организации?

                                                          Это примерно то же самое, что в мастерскую по копированию обычных ключей принести ключ, не оторвав бирку от квартиры с адресом с указанием, где именно деньги лежат. Не фатально, если ключник — честный, но никому не нужно.
                                                            0
                                                            Да уже вроде разобрались, что я ступил.
                                                            Секретный ключ генерится на моей стороне.
                                                              0
                                                              Вопрос к тем, кто приводил примеры ситуации, когда пара «закрытый/открытый ключ» генерируется на серверной стороне. Если можно, приведите примеры провайдеров криптоуслуг, которые делают это именно так?

                                                              Я себе процесс получения сертификата представляю следующим образом:
                                                              1) Вы заходите на сайт, представляющий услуги выдачи сертификатов
                                                              2) на ЛОКАЛЬНОЙ машине Вашим локальным криптопровайдером генерируется пара «закрытый/открытый ключ» (причем, этот процесс может происходить и в CPU крипто-токена, например, USB-брелока, которого закрытый ключ вообще никогда ни при каких условиях не покидает)
                                                              3) открытый ключ от только что созданной пары пересылается на сервер (защищает его от подделки в этот момент HTTPS);
                                                              4) сервер подписывает присланный открытый ключ своей ЭЦП, создавая собственно СЕРТИФИКАТ ключа подписи;
                                                              5) сервер отсылает сертификат Вам (и если хочет, то может положить его в свое хранилище для кэширования)

                                                              Закрытый ключ Ваш компьютер не покидал !!!
                                                                +1
                                                                startcom предоставляет такую возможность наравне с обработкой CSR.
                                                                Естественно там данный пункт помечен как менее безопасный, но более простой.
                                                  0
                                                  Да, кстати, посмотрите, как устроен сертификат, ну например, здесь: https://bankline.ru/
                                                  Помимо MD5 хеша имеется и SHA хеш.
                                                  И что? Вот какой процент пользователей будет разбираться в том, как устроен сертификат если браузер нарисует замочек и скажет что всё в порядке — сертификат авторизован для сайта фишера?

                                                  Опять-таки они могут и SHA-1 подпись для сертификата сделать, а уж то, что этот сертификат подписан CA, который сам подтверждён уже только через MD-5 вам ни один браузер не покажет…
                                                    0
                                                    Если в службе ИТ-безопасности (ну, например) банка сидят баобабы, то, уверяю вас, это далеко не самое слабое звено в защите системы.
                                                      0
                                                      Если в службе ИТ-безопасности (ну, например) банка сидят баобабы
                                                      Вы себя имеете в виду? Ну, будем надеяться, таких «спецов» в банке отметут сходу…
                                                      0
                                                      Любой вменяемый и технически грамотный, если ему есть, что терять в случае мошенничества.
                                                      Технически неграмотным людям пользоваться серьёзными техническими средствами противопоказано по определению — в любой области, от судоводства до самолётостроения.
                                                        0
                                                        Вы выдаёте желаемое за действительное. Поймите вы: перевод денег — это рутина, а лоцманов и конструкторов самолётов мало. Не нужно их ставить на одну доску.

                                                        Технически грамотный бухгалтер может среагировать на ярко-красное предпреждение, выданное браузером (и вызвать «ИТ-специалиста»), но если браузер показывает (зелёным цветом или ещё как-нибудь), что всё в порядке, то ни один из бухгалтеров никуда не полезет.

                                                        И это правильно: они занимаются своим делом, а задача админа — настроить всё так, чтобы не было проблем. В частности выкосить из списка сертификатов в браузере всех регистраторов, которые поддерживают MD5. Но и тут всё непросто: если выкосить всех таких регистраторов, а потом у начальника не заработает ICQ (или там mail.ru'шный агент), то можно и своим местом поплатиться…
                                                          0
                                                          Как вы считаете, а внятнвя должностная инструкция может решить эту проблему?
                                                            0
                                                            Скорее всего нет. Людей, которые будут её соблюдать вы где найдёте? Специальные курсы откроете и обяжете их пройти?

                                                            Во сколько это обойдётся? И окупятся ли эти затраты?

                                                            Все банки это прекрасно понимают и применяют более простые решения (вместо веб-клиента используется так называемый банк-клиент, который требует для своей работы ключевую дискету), но это годится только для организаций, а кроме них ведь есть ещё и частные лица…
                                                    0
                                                    Это достаточно не простой процесс. Хотя тот факт, что для хэш функции можно соверщить атаку селективной подделки не в какие ворота не лезет. Впринципе такой сертификат можно достаточно просто уличить в подделке, но с формальной точки зрения он действителен
                                                    0
                                                    А вот это вот вам как -> www.win.tue.nl/hashclash/SoftIntCodeSign/?
                                                      +1
                                                      Все очень просто.
                                                      Длина хеш-кода — 512 бит. Соответственно, пространство состояний — 2^512.
                                                      Разработчики этих двух чудо-программ имели возможность дописывать в хвост 832 Байта. Получается, что у них пространство состояний — 2^6656.

                                                      Думаю, очевидно, что простым перебором можно написать миллионы миллиардов программ, которые будут хешироваться одинаковым кодом.
                                                        +3
                                                        Идея для стартапа-конкурса: участникам дается хеш. Необходимо сбрутфорсить или написать программу, которая даст этот самый хеш при хешировании. Побеждает самая интересная или полезная программа :)
                                                          0
                                                          Я к тому, что это уже совсем небезобидный пример с коллизиями MD5.
                                                            0
                                                            Поймите, что если я являюсь владельцем сертификата/приватного ключа/исходного_текста_для_хеша, то я, вообще говоря, могу сделать многое.

                                                            Таким образом они могли подобрать хеш вообще к любой программе. Но тем не менее, это — брутфорс, а не уязвимость алгоритма.

                                                            То, что когда MD5 был разработан (17 лет назад), можно было подбирать, например по 10 хешей в секунду, а сейчас — по 10 000 000 (возьмите CUDA — и вперед!), то это не означает, что MD5 будет жить вечно. Да и все мы в детстве баловались Rainbow-таблицами =))
                                                              0
                                                              Таким образом они могли подобрать хеш вообще к любой программе. Но тем не менее, это — брутфорс, а не уязвимость алгоритма.
                                                              Это таки уязвимость алгоритма. Относительно слабая, но уязвимость. Как раз в случае с веб-сайтами она критична.

                                                              Поймите, что если я являюсь владельцем сертификата/приватного ключа/исходного_текста_для_хеша, то я, вообще говоря, могу сделать многое.
                                                              Нет. Это делает ЭЦП бессмысленной. Если вы можете генерить документы, соответствующие одной и той же ЭЦП, пачками — то что это за подпись такая? Что она заверяет?

                                                                0
                                                                >>Нет. Это делает ЭЦП бессмысленной. Если вы можете генерить документы, соответствующие одной и той же ЭЦП, пачками — то что это за подпись такая? Что она заверяет?

                                                                Да, верно, но я здесь говорил в том же контексте, что и в обсуждении про одинаковый хеш для двух программ.
                                                                Представьте, что у меня есть два документа, в которых есть маловажный текст, но суть представляет какая-то цифра. Один документ — нормальный, другой — подложный. Подложный хешированием нужно выдать за нормальный.
                                                                Имея закрытый ключ я могу изменять в обоих документах текст таким образом, что «подгоню» один документ к другому по хеш-коду, сохранив цифру.
                                                                Само собой, это тот же самый брутфорс, но имея приватный ключ, я могу сделать это гораздо быстрее!
                                                                  0
                                                                  Вы говорите о хорошо известном парадоксе, я так понимаю? Да, его всегда нужно учитывать — потому в MD5 и используется 128бит в то время как в параллельном к нему DES'е использовалось только 56бит.

                                                                  Но обсуждаемые атаки к брутфорсу не сводятся: перебрать даже «жалкие» 18 квинтиллионов ключей (вместо 340 ундециллионов как требуется для подбора) на персональном компьютере за секунду, в общем, не получится…
                                                        0
                                                        Все дело в том, что сертификат имеет чуть более сложную структуру, чем «Private text». И в часности в X.509 может быть комментарий.
                                                      +1
                                                      Это относится к тому факту, что создать два текста с одинаковой хеш-суммой теперь возможно, ни о какой обратимости речи не идет. Именно это и реализовано. И автор успокаивает в статье, насчет подбора текста с такой же хеш суммой — нельзя, так что можно за /etc/shadow не переживать.

                                                      Надеюсь я верно понял: )

                                                      Автору спасибо, но пожелание выверять терминологию, сам страдаю подобным. И вот, как видите, не все поняли ваш текст правильно — попробуйте немного ясности привнести.
                                                      0
                                                      Прогресс в атаках функций хеширования был продемонстрирован на конференции Crypto2008. Австрийско-польской команде криптологов из Гразского технологического и Варшавского военного технологического университетов удалось успешно произвести атаку на российский криптографический стандарт ГОСТ Р 34.11-94. Стандарт, который был введен 1 января 1995 года, определяет алгоритм и процедуру вычисления хэш-функции для последовательности символов. До этого момента, ГОСТ Р 34.11-94 считался одним из самых защищенных криптографических стандартов. Также криптологи продемонстрировали первую практическую инверсионную атаку на сокращенные варианты алгоритма SHA-1, которая может использоваться для вычитания пароля из хеша.

                                                      Согласно отчету, криптологам удалось обнаружить неожиданную техническую уязвимость и использоваться ее для проведения коллизионной атаки в 2^23 раза быстрее, чем считалось возможным.

                                                      © www.securitylab.ru/news/358391.php
                                                        +1
                                                        Ммм, статья во первых с весьма желтого ресурса, во вторых я так и не понял — 2^23 это на какой алгоритм? Далее — техническую? То есть аппаратную? Или я не понял: )

                                                        Я вот лично удалил sl.ru из подписок — бред очень часто, статьи некачественные.
                                                          0
                                                          1. Набери в google «уязвимость в ГОСТ Р 34.11-94» выдаст множество результатов.
                                                          2. В статье дана ссылка на отчёт (https://online.tu-graz.ac.at/tug_online/voe_main2.getVollText?pDocumentNr=80200&pCurrPk=36649) там рассматривается криптоанализ функции хеширования ГОСТ.
                                                          2. Но это всё фигня, всё-равно защищённей чем MD5/SHA-1.
                                                          На wikipedia (http://ru.wikipedia.org/wiki/ГОСТ_Р_34.11-94) есть алгоритм хэширования, но он малось сложноват… Никто не встречал готовых реализованных классов для хеширования по этому алгоритму?
                                                          +4
                                                          Вот это и дает 2^105 — смотрите:

                                                          разрядность ГОСТ Р 34.11 — 256 бит,
                                                          по парадоксу дней рождения придостаточном объеме дискового пространства
                                                          достаточно 2^(256/2) т.е. 2^128 операций для поиска коллизии,
                                                          раз австрийцы улучшили на 2^23 получается 2^(128-23)=2^105,
                                                          об этой атаке и упоминается в заметке.

                                                          Это нереализуемо на практике и имеет смысл пока только в теории
                                                            0
                                                            Внесите в статью
                                                        • UFO just landed and posted this here
                                                            +4
                                                            Вы отстали от жизни лет на 60 :D

                                                            Представьте себе, какой вас будет ждать сюрприз при утечке информации о вашем алгоритме )
                                                              0
                                                              Можно придумать алгоритм, основанный на некоторых неизвестных возможному взломщику параметрах сервера) Или просто каком-то стартовом конфиге.
                                                              Даже получив исходники алгоритма, эти параметры не узнать, разве что только каким-либо брутфорсом, но эта проблема впонле решаема :)
                                                                0
                                                                Все это широко дискутировалось достаточно давно, решение было достаточно однозначное
                                                                  –1
                                                                  УБЭП в серверной или паяльник сами_знаете_где еще никто не отменял :)
                                                                  Так что ваш подход упирается в стоимость (причем весьма конечную) ресурсов, а не в вычислительную сложность.
                                                                  0
                                                                  Рациональное зерно есть.
                                                                  Конечно, надеяться на неизвестность алгоритма не приходится, но если это будет твой собственный алгоритм (который, кстати, не так уж сложно «разработать» и успешно применять) — то хакеру придется ломать твой собственный алгоритм. А это не то же самое, что «скачать ломалку для MD5» — тут подумать надо и куча любителей поломать отсеятся уже на этом этапе. Ну еще плюс надо поковыряться в программе и вытащить алгоритм — не думаю, что вы его его тоже пихнёте в открытом виде. А можно и в открытом — проектируя что-то криптографическое надо всегда рассчитывать на то, что алгоритм станет известен. Другое дело — вы его не обязаны раскрывать, а тот кто раскроет — не обязан делиться с окружающими… Это тоже даст задержку.

                                                                  То есть тупо использование чего-то своего может существенно усложнить (а может и упростить, если не подумать. но это вряд ли.) количество телодвижений -> стоимость взлома вашей системы.

                                                                  P.S. насчет разработать в кавычках — практически везде сейчас используются одни и те же операции: подстановки, сложение по модулю и т.д. Комбинируя их в циклы вполне можно получить достаточно нормальный алгоритм как шифрования так и подписи.
                                                                    +1
                                                                    Комбинируя их в циклы вполне можно получить достаточно нормальный алгоритм как шифрования так и подписи

                                                                    … но почему-то даже у профессиональных криптографов это получается не всегда.
                                                                      0
                                                                      У них задача посложнее: алгоритм должен быть как можно более прост в реализации + этот алгоритм точно будет известен всем задолго до его использования. Поэтому они и проверяют все, до чего могут дотянуться.
                                                                        0
                                                                        Вот уж не уверен, что ВСЕГДА стоит задача простой реализации.
                                                                        Тем более сложение и подстановки — это инструмент блочных шифров и хэшей (они, кстати, несколько родственны — может быть напишу на эту тему пост), а вот для ассиметричной криптографии уже в ход идут «сложные задачи», а подписи без использования ассиметричной криптографии по-моему не мыслимы.
                                                                      0
                                                                      P.P.S. И конечно же я не имел в виду случаи, когда надо обязательно пользоваться сертифицированным алгоритмами. Тут за вас всё придумали и у вас нет выбора, кроме как следовать инструкциям.
                                                                    +3
                                                                    > а не зная алгоритма декодировать куда сложнее чем с исходниками на руках
                                                                    Согласно принципу Керкхофса (и в дальнейшем максиме Шеннона), система имеет право считаться стойкой только если её стойкость сохраняется при полном разглашении информации о её устройстве.
                                                                    0
                                                                    md5 можно довольно быстро отбрутить радужными таблицами :) это не взлом — просто быстрый брут…
                                                                    может кому то будет интересно
                                                                      +2
                                                                      Да, совершенно верно, я умышленно не упоминал о Rainbow tables, чтобы не перегружать материал.
                                                                      Именно из-за их существования все переходят на обязательное использование «соли» (salt) при хешировании паролей — в этом случае радужные таблицы станвоятся бесполезными.
                                                                        0
                                                                        Радужные таблицы обычно используются для атак на паролевые схемы. А для таких схем надо руководствоваться хотя бы PKCS #5. В общем и целом — не суть актуально :] Впрочем, для всяких www-самоделкиных это может быть актуальным )
                                                                          0
                                                                          Интересно. :)
                                                                          0
                                                                          Да-да, коллизии в MD5 это сущая мелочь — см. phreedom.org/research/rogue-ca/
                                                                            0
                                                                            Не заметил, что выше уже обсудили сие, правда, без ключевого слова CA :-)
                                                                            0
                                                                            Компьютеры становятся мощнее, алгоритмы запутаннее и так по кругу. пора переходить на квантовую криптографию!!!
                                                                              +2
                                                                              а чем не подходит к примеру вариант типа
                                                                              md5(str + md5(str)) в данном случае для обратной операции потребуется определить правильную последовательность, в случае использования тех же rainbow таблиц, для конечного хэша будет найдена не исходная последовательность. И соответственно str не получится определить.
                                                                                +5
                                                                                Поздравляю! Вам начинают приходить в голову те же идеи, что и серъёзным криптографам! В частности MD5 был получен из MD4 примерно по описанному вами алгоритму. Как выяснилось — это улучшило его криптостойкость, но не слишком существенно.
                                                                                  0
                                                                                  А почему вы уверены, что md5(md5(str)) более криптостойко, чем md5?
                                                                                  По сути, вы предлагаете то же самое — изобрести свой доморощенный алгоритм.
                                                                                    0
                                                                                    А почему вы уверены, что md5(md5(str)) более криптостойко, чем md5?
                                                                                    Априори это неизвестно, но в принципе все алгоритмы шифрования и криптохеширования включают в себя много раундов. Хотя это помогает далеко не от всех видов аттак, конечно.

                                                                                    По сути, вы предлагаете то же самое — изобрести свой доморощенный алгоритм.
                                                                                    Угу. Это улучшит защиту, но неясно — насколько. А если мы уже меняем алгоритм — то не проще ли взять что-то проверенное?SHA-2, к примеру…
                                                                                      +4
                                                                                      Вот и я про то же — кажется оно более стойким, а что делается по факту понять сложно. Я люблю в таком случае приводить вот такой пример:
                                                                                      Возьмем так называемый совершенный шифр, т.е. XOR с длинной ключа равной длине сообщения. А теперь для «увеличения безопасности» зашифруем этим шифром текст ДВАЖДЫ! Естественно, что вместо ожидаемого улучшенного шифра на выходе двойного XOR-а мы получим просто изначальный текст.


                                                                                      А если мы уже меняем алгоритм — то не проще ли взять что-то проверенное?SHA-2, к примеру…

                                                                                      По-моему существует ровно одно оправдание подходу md5(md5(crc32(str))) и то весьма сомнительное — когда в библиотеке нет реализации других хэшей…

                                                                                      Но, судя по тому, что sha-1 есть даже на javascript, таким оправданием воспользоваться не получится.
                                                                                        +1
                                                                                        На самом деле существует ещё и другое оправдание: когда вы хотите ограничить злоумышленнику возможности перебора. То есть вы делаете что-нибудь типа:

                                                                                        m=sha2(password+salt)
                                                                                        m1=sha2(m+salt)

                                                                                        m1000000=sha2(m999999+salt)

                                                                                        Ну и в /etc/passwd записывается m1000000. Но это защита не от слабости криптохеша, а от брутфорса на пароли и от использования «радужных таблиц»…
                                                                                          0
                                                                                          Кстати я не уверен что прибавление «соли» на каждом шаге даёт дополнительную защиту — но и проблем вроде не создаёт…
                                                                                            +1
                                                                                            Да, я конечно же не имел ввиду добавление соли, добавление соли это дополнительные входные данные.

                                                                                            Посмотрел на один из своих веб-проектов N-летней давности — там подобная схема и была реализована:
                                                                                            m= hash(salt + password)
                                                                                            mi = hash(mi-1 + password)
                                                                                            stored = salt + m16

                                                                                            Теперь сижу, пытаюсь понять, лучше ли m15random-ной соли :-)
                                                                                              +1
                                                                                              Подход, примененный в WinRAR.
                                                                                              Среднее время на проверку 1 пароля — примерно 0.1 секунды.
                                                                                              Очень удачное на мой взгляд решение.
                                                                                              0
                                                                                              Пример про XOR понравился)) Предлагаю лучше сделать 256 раундов, для более высокой надежности.

                                                                                              А вообще, конечно хеш-алгоритмы надо менять со временем, а то кто знает, что обнаружат завтра.
                                                                                                0
                                                                                                зашифруем этим шифром текст ДВАЖДЫ!
                                                                                                Конечно зашифруйте, но с другим ключом.
                                                                                                  0
                                                                                                  Ну это удвоение бесконечной длины ключа — так каждый сможет, а вот чтоб сам алгоритм абсолютно стойкого шифра «улучшить» — это совсем другое дело!

                                                                                                  ;-)
                                                                                                    0
                                                                                                    Шифр Вернама требует соблюдения всего трёх условий, и вы игнорируете одно или несколько из них — ничего удивительного, что система перестаёт быть безопасной.
                                                                                                      0
                                                                                                      Естественно, это же и был пример того, как делать не стоит. Чтобы при беглом взгляде могло показаться, что всё в порядке, особенно если человек в криптографии не разбирается.
                                                                                          0
                                                                                          Понравилась идея про использование сразу двух алгоритмов. Скорее всего не ново, но довольно элегантно и просто.
                                                                                            +1
                                                                                            И это на практике часто используется. Но тут надо быть осторожным: такая защита не увеличивает стойкость по сравнению с одним алгортмом, но позволяет гарантировать что вы получите стойкость самого надёжного из них. А это — тоже немало…
                                                                                              +2
                                                                                              В данном случае несколько сильнее.
                                                                                              ОДНОВРЕМЕННЫХ коллизий одной и той же пары сообщений на MD5 и например, SHA-0, пока нет, и мне кажется это весьма и весьма трудоемко.
                                                                                                0
                                                                                                А почему это обязательно должны быть два разных алгоритма?
                                                                                                А если взять md5(message+salt1) и md5(message+salt2), разве не будет то же самое, что и с двумя алгоритмами?
                                                                                                  0
                                                                                                  Я честно не задумывался о таком варианте.
                                                                                                  Похоже, что Вы абсолютно правы.
                                                                                                  Может кто-то еще прокомментирует такой вариант?
                                                                                            0
                                                                                            >Может ли злоумышленник…?

                                                                                            * … создать другой файл/архив/т.п., который будет иметь ту же хеш-сумму, что и чужой оригинальный, чтобы потом заменить им оригинальный, например, на WEB-сервере или в репозитории исходных/двоичных кодов? Нет.

                                                                                            — Не понял. Почему злоумышленник не может это сделать?
                                                                                              +1
                                                                                              Для быстрого создания коллизии он должен иметь возможность в процессе подбора менять и первый документ и второй. Если первый документ менять нельзя, то процесс затянется очень надолго (вне доступных пределов).
                                                                                                0
                                                                                                Почитайте на досуге. Есть два способа взломать хеш-функцию. Пока что все «сломанные» хеш-функции сломаны «условно». Этого достаточно чтобы натворить разных бед с сертификатами, но вот подменить файл с помощью этих атак нельзя.
                                                                                                  0
                                                                                                  Да, я уже понял. Думаю, автор статьи недостаточно внятно изложил суть нахождения коллизии.

                                                                                                  >Злоумышленник имеет возможность создать два разных документа, у которых будет одинаковое хеш-значение (при этом он не имеет возможности «контролировать» какое именно значение получится). Это означает, что создать «двойника» к уже существующему чужому документу/тексту/файлу он не может.

                                                                                                  Из первого предложения никак не следует второе.
                                                                                                    +1
                                                                                                    А почему вдруг из первого предложения должно следовать второе? У вас расстройство психики и вы больше одной фразы в голове держать неспособны? Полная цитата выглядит так:
                                                                                                    Что мы имеем «в сухом остатке»?
                                                                                                    Криптоалгоритмы MD4, MD5, SHA-1, RIPEMD, HAVAL однозначно скомпрометированы в отношении атак генерации коллизий. Однако (!) к счастью, ни одной физически реализуемой атаки на обращение хеш-функций (даже для MD4) на сегодняшний день не опубликовано.

                                                                                                    Чем это грозит ?
                                                                                                    Злоумышленник имеет возможность создать два разных документа, у которых будет одинаковое хеш-значение (при этом он не имеет возможности «контролировать» какое именно значение получится). Это означает, что создать «двойника» к уже существующему чужому документу/тексту/файлу он не может. Контролирует ситуацию он только в том случае, когда может конструировать и первый и второй документы сам.
                                                                                                    Первое предложение раздела «Чем это грозит ?» следует из первого предложения раздела «Что мы имеем «в сухом остатке»?», второе предложение раздела «Чем это грозит ?» следует из второго предложения раздела «Что мы имеем «в сухом остатке»?». Куда уж внятнее… Всё-таки статья писалась не для младшей группы детского сада…
                                                                                                      0
                                                                                                      >А почему вдруг из первого предложения должно следовать второе?

                                                                                                      Потому, что второе предложение начинается со слов «Это означает...». Эта конструкция связывает второе предложение с предыдущим. Если У Вас эта конструкция связывает второе предложение не с предыдущим, а с каким-то другим, неизвестно где находящимся, то это весьма странно.

                                                                                                      Впрочем, даже если принять Вашу версию, то все-равно, одно из другого не следует. Каким образом у Вас невозможность найти коллизию к существующему файлу следует из того, что не опубликовано метода обращения хеша?

                                                                                                0
                                                                                                Спасибо очень интересно и познавательно для новичков ;)
                                                                                                  –2
                                                                                                  >> ни одной физически реализуемой атаки на обращение хеш-функций (даже для MD4) на сегодняшний день не опубликовано.

                                                                                                  www.win.tue.nl/hashclash/rogue-ca/

                                                                                                    +1
                                                                                                    Вы приводите пример атаки класса генерации коллизий, а не обращения.
                                                                                                    В первом разделе заметки акцентировано внимание на разнице между этими типами атак.
                                                                                                      0
                                                                                                      да, не заметил :)
                                                                                                        0
                                                                                                        тогда физически реализуемой могу назвать атаки на тексты до 10 любых символов физически реализуемой атакой типа перебор :)
                                                                                                          0
                                                                                                          Вполне реализуемая атака и от неё тоже нужно защищаться — но это другая атака.
                                                                                                      0
                                                                                                      А кто мешает сделать вот так md5(md5(md5($string)))? :-)
                                                                                                        0
                                                                                                        Это экстенсивный путь. Да, на первое время он будет наверное достаточно стойким.

                                                                                                        Но обычно, когда обнаружена структурная (идеологическая) ошибка в криптоалгоритме,
                                                                                                        стараются изменить именно идеологию его построения (комбинирования
                                                                                                        математических выражений, входящих в него).

                                                                                                        На самом деле, как только завершится SHA-3 и победитель будет назван,
                                                                                                        его ждет такой же успех как AES на сегодняшний день.
                                                                                                        Ждать нового алгоритма осталось недолго. Вот хорошая ссылка про конкурс:
                                                                                                        ehash.iaik.tugraz.at/wiki/The_SHA-3_Zoo
                                                                                                        0
                                                                                                        В php >= 5.1.2 есть встроенная функция hash(algo, data), позволяющая получить хэш от data, используя алгоритм data. Список поддерживаемых алгоритмов можно получить через функцию hash_algos(). Вот что она возвращает в php 5.1.2:

                                                                                                        Array
                                                                                                        (
                                                                                                        [0] => md4
                                                                                                        [1] => md5
                                                                                                        [2] => sha1
                                                                                                        [3] => sha256
                                                                                                        [4] => sha384
                                                                                                        [5] => sha512
                                                                                                        [6] => ripemd128
                                                                                                        [7] => ripemd160
                                                                                                        [8] => whirlpool
                                                                                                        [9] => tiger128,3
                                                                                                        [10] => tiger160,3
                                                                                                        [11] => tiger192,3
                                                                                                        [12] => tiger128,4
                                                                                                        [13] => tiger160,4
                                                                                                        [14] => tiger192,4
                                                                                                        [15] => snefru
                                                                                                        [16] => gost
                                                                                                        [17] => adler32
                                                                                                        [18] => crc32
                                                                                                        [19] => crc32b
                                                                                                        [20] => haval128,3
                                                                                                        [21] => haval160,3
                                                                                                        [22] => haval192,3
                                                                                                        [23] => haval224,3
                                                                                                        [24] => haval256,3
                                                                                                        [25] => haval128,4
                                                                                                        [26] => haval160,4
                                                                                                        [27] => haval192,4
                                                                                                        [28] => haval224,4
                                                                                                        [29] => haval256,4
                                                                                                        [30] => haval128,5
                                                                                                        [31] => haval160,5
                                                                                                        [32] => haval192,5
                                                                                                        [33] => haval224,5
                                                                                                        [34] => haval256,5
                                                                                                        )

                                                                                                        Вопрос: кто-нибудь в курсе, 16-й алгоритм — 'gost' — это и есть ГОСТ Р 34.11-94, или какой-то другой алгоритм?

                                                                                                        Описание функций
                                                                                                          0
                                                                                                          Имелось в виду, используя алгоритм algo.

                                                                                                            +1
                                                                                                            Да, это ГОСТ Р 34.11-94:

                                                                                                            ...
                                                                                                            memcpy(u, state, sizeof(u));
                                                                                                            memcpy(v, data, sizeof(v));
                                                                                                            for (i = 0; i < 8; i += 2) {
                                                                                                            X(w, u, v); \
                                                                                                            P(key, w); \
                                                                                                            R(key, h, i, t, l, r); \
                                                                                                            S(s, l, r); \
                                                                                                            if (i != 6) { \
                                                                                                            A(u, l, r); \
                                                                                                            if (i == 2) { \
                                                                                                            C(u); \
                                                                                                            } \
                                                                                                            AA(v, l, r); \
                                                                                                            }
                                                                                                            }

                                                                                                            SHIFT12(u, m, s);
                                                                                                            SHIFT16(h, v, u);
                                                                                                            SHIFT61(h, v);
                                                                                                            ...
                                                                                                              0
                                                                                                              Это — фрагмент исходников самого php?
                                                                                                                +1
                                                                                                                Да: \php-5.2.8\ext\hash\hash_gost.c

                                                                                                                я только один #define внутрь занес для наглядности.

                                                                                                                  0
                                                                                                                  Спасибо!
                                                                                                          • UFO just landed and posted this here

                                                                                                            Only users with full accounts can post comments. Log in, please.