Su Clave PGP? Asegúrese de que Es Hasta la Fecha

Las claves de la imagen a través de Shutterstock/ Scharfsinn

William Foxley

Su Clave PGP? Asegúrese de que Es Hasta la Fecha

Los ladrones de identidad ahora tiene otra herramienta a su disposición: bitcoin hash poder.

Esa es la conclusión de un nuevo criptoanálisis artículo publicado a principios de este mes en SHA-1 (que se pronuncia «shaw»), una vez que la popular función de hash creado por la Agencia de Seguridad Nacional y rechazado en el mediados de los años 2000, después de fallar en contra de los teóricos hack ataques.

SHA-1 continúa para ver su uso en ciertos círculos, como en el código fuente del programa Git y otros productos de legado para el envío de transmisiones seguras en los equipos, de acuerdo a Gaetan Leurent de Francia, el Instituto Nacional para la Investigación en Digital Ciencia y la Tecnología y Thomas Peyrin de Singapur, la Universidad Tecnológica de Nanyang, los autores de la ponencia.

A pesar de los avisos en el 2006 y el 2015, del Instituto Nacional de Estándares y Tecnología (NIST) para las agencias federales para dejar de utilizar la función de hash, y otros estudios de advertencia de SHA-1, los defectos, los académicos son todavía advertencia a las empresas a cambiar las funciones de hash.

«SHA-1 firmas ahora ofrece prácticamente ninguna seguridad en la práctica», señala el estudio.

Por el alquiler de repuesto hash poder de bitcoin miner, hecho posible durante el mercado bajista de calmas – Leurent y Peyrin fueron capaces de llevar a cabo una suplantación de ataque mediante la creación de un falso tecla asignada a la identidad de otra persona.

Las funciones de Hash, una forma de cifrado scrambler que comprende la seguridad básica de cryptocurrencies, también pueden ser utilizados para verificar la identidad individual.

En claves PGP, la intención del mensaje (llamada de texto sin formato) es comprimido y codificado a través de una única vez «clave de sesión.» Emparejado con una clave pública, los usuarios pueden transmitir información de forma segura a otra persona. Para descifrar el mensaje, los destinatarios que coincida con su clave privada con la clave de sesión para recuperar el texto sin formato.

De acuerdo con el documento, claves PGP – a menudo utilizado para auto-comprobar los usuarios – puede ser roto con $50,000 de alquilar hash de la energía, un pequeño sacrificio por agencias del gobierno, por no hablar de los hackers de sombrero negro.

Cómo? A través de la colisión de los ataques en diferentes entradas de resultado en el mismo azar hash. Cuando esto ocurre, las dos partes tienen acceso a la misma clave.

«Es tan barato porque la GPU de la computación hoy en día es muy barato», Peyrin, dijo en una entrevista telefónica. «Eso va a ir a más en los próximos años. Nuestro ataque está costando tal vez de $45.000, pero ahora en, digamos, cinco a 10 años, nos va a costar como menos de $10.000.»

Mientras que muchos usuarios han pasado de SHA-1, Leurent y Peyrin señaló dos populares dominante auto-herramientas de verificación de Pretty Good Privacy (PGP y GnuPG, están en riesgo de ataques de suplantación a través de la función de hash colisiones para ciertas aplicaciones heredadas. El último ahora es rechazar SHA-1, sobre la base de las firmas basadas en la investigación, el académico dijo.

«No tenemos los números acerca de cómo en realidad muchos Yukis (un popular auto-verificación de dispositivos) están utilizando la versión antigua,» Peyrin, dijo. «Mucha gente se utilizan para el uso de SHA-1, lamentablemente, y una de las razones es porque en el legado de los propósitos. Que cuesta un montón de dinero simplemente alejarse.»

Un día en la vida de una función de hash

La misma semana de la vulnerabilidad en SHA-1 fue expuesto, una nueva surgido: BLAKE3. Cuatro crypto analíticos, incluyendo zcash creador y cypherpunk Zooko Wilcox, presentó BLAKE3 como otra alternativa a las muchas funciones de hash disponibles en la actualidad para uso comercial.

Wilcox dijo a CoinDesk el uso de árboles de Merkle fue una motivación para el desarrollo de un nuevo estándar junto con sus colegas. Patentado por primera vez en 1979 por Ralph Merkle, árboles de Merkle – utilizado en cryptocurrencies – eficiente de almacenar datos verificados y permitir a las máquinas para realizar los mismos cálculos simultáneamente en lo que se llama «paralelismo.» Como el BLAKE3 notas de papel, el uso de árboles de Merkle «soporta un ilimitado grado de paralelismo.»

Traducción: es muy rápida, la función de hash.

La función de Hash velocidades a través de BLAKE3 GitHub

En su mayoría destinados a la verificación de secuencias de vídeo, la función de hash se basa en el BLAKE de la familia de funciones tales como BLAKE1 y BLAKE2.

SHA-1 tiene sus propios miembros de la familia así: SHA-2 y SHA-3. A diferencia de su BLAKE primos, sin embargo, el SHA de la familia fue creado a partir de la necesidad de solucionar SHA-1, después de que en 2004, un bombón de papel que se rompió varias funciones de hash. De hecho, bitcoin es la función de hash SHA-256, es un miembro de la misma familia (creado como una alternativa a SHA-1).

Siguiendo el 2004 de papel, SHA-2, creada tres años antes, se espera que para ser rotos, así como investigadores, asumió su hermano fracasos serían los rasgos genéticos.

Aún así, la mayoría de los expertos de seguridad en el momento pensé que era el busto, que conduce a una NIST competencia para un reemplazo en 2007. Por lo tanto, SHA-3.

Años más tarde, y SHA-2 bamboleándose mientras que su hermano sigue golpeando. El costo de lanzar un ataque sobre las aplicaciones que utilizan SHA-1 continúa depreciándose, a partir de los millones de dólares de alquilar equipo de la GPU sólo a miles de personas bajo Leurent y Peyrin de investigación.

Toda la vida de popular de las funciones de hash a través de Valerie Aurora

Entonces, ¿qué acerca de BLAKE3 y otras funciones de hash como crypto del SHA-256? Mientras que todas las funciones de hash ir por el camino de SHA-1? No del todo, dijo BLAKE3 autor principal, Jack O’Connor.

«Hemos aprendido bastante acerca de cómo construir cripto en la década de los 90. Lo que se podría pensar como un hecho natural de la vida y de la muerte ciclo de la función de hash podría ser incorrecto asumir. Mira SHA-1 y ‘decir bien, usted sabe que nació y murió, dependiendo de cómo lo cuentan 2015 o 2005, como una de 12 a 15 años de ciclo de vida,'» dijo O’Connor.

«No creo que sea la mejor manera de entender cómo las funciones de hash trabajo porque estábamos aprendiendo mucho en la década de los 90 y no estamos repitiendo los errores que se hicieron con SHA-1», dijo O’Connor.

Usted puede pintar un paisaje de mil maneras, sin embargo. Es injusto para extrapolar a partir de SHA-1 de la desaparición de otras funciones, ya que depende de cómo la tecnología del futuro contadores más segura y eficaz de las funciones de hash a rodar hoy en día, tales como BLAKE3.

«Una historia que la gente dice que es ‘todos los hash seguro funciones fallen — tienen una vida finita.’ Otra historia es ‘en la década del 2000, criptógrafos aprendido a hacer seguro de las funciones de hash — antes de eso, todos fracasaron, después de eso, ninguno de ellos lo hizo,'» Wilcox dijo.

«Es importante darse cuenta de que ambas historias son compatibles con los datos, así que cualquiera que le diga que se sabe cual es la verdadera historia es extraer conclusiones más allá de los datos», ha concluido.