SHA-1 geknackt, Nachfolger gesucht

Der gemeldete Durchbruch der Kryptanalyse, dem offenbar das Standard-Hash-Verfahren SHA-1 zum Opfer fiel, löst allgemeines Erstaunen aus. "Niemand hat geglaubt, dass SHA-1 so schnell fallen würde", wundert sich Krypto-Experte Bruce Schneier in einer Stellungnahme gegenüber heise Security.

Aber er habe sich die Ergebnisse des Teams angeschaut und glaube, dass sie es tatsächlich geschafft haben, SHA-1 zu brechen. Das bisher nicht veröffentlichte Paper sei jetzt zur EuroCrypt eingereicht worden. Dann werde man sehen, ob sie wirklich Recht haben. Allerdings relativiert er das Risiko: "Erst einmal besteht noch keine Gefahr. Niemand muss jetzt seine Zertifikate oder Keys wegwerfen." Nur für die nähere Zukunft sieht er einen Wechsel zu SHA-256 als ausreichend an: "Man wird sich aber über weitere Hash-Algorithmen Gedanken machen müssen."

Auch Burt Kaliski, einer der Pioniere der Public-Key-Verschlüsselung und Chef der Entwicklungsabteilung von RSA Security, kritisiert fehlende Vielfalt bei den eingesetzten Hash-Algorithmen: "Alle bauen aufeinander auf: MD4, MD5 sowie SHA-0, SHA-1 und der jetzt wohl präferierte SHA-256." Grund zur Panik sieht Kaliski zwar nicht, doch innerhalb der nächsten fünf bis zehn Jahre rechnet er mit ausgefeilteren Techniken, die es ermöglichen könnten, ein signiertes Dokument nachträglich so zu verändern, dass sich der Hash-Wert nicht ändert (so genannte Preimage-Attacken). Deshalb müsse man jetzt beginnen, nach neuen Verfahren zu suchen. Schließlich habe es auch von der Ausschreibung bis zur Wahl von AES fünf Jahre gedauert.

Werner Koch, Maintainer des GnuPG-Projekts, äußerte gegenüber heise Security die Besorgnis, dass die Ergebnisse von Wang et al. eine völlig neue Klasse von Angriffen ermöglichen könnten, die auch andere Verfahren betreffen. Von überstürzten Maßnahmen hält er jedoch nichts. Zum einen müsse Software wie GnuPG Standards erfüllen. Da können man nicht einfach einen Algorithmus rauswerfen oder ersetzen. Zum anderen seien die potenziellen Alternativen wie Whirlpool und auch SHA-256 deutlich weniger gut erforscht, sodass ein übereilter Umstieg unter Umständen mehr schade als nutze. GnuPG setzt wie die meisten anderen Programme für digitale Signaturen SHA-1 als Standard-Hash-Verfahren ein. Daran werde sich in nächster Zukunft auch nichts ändern, so Koch.

Ein Hintergrundartikel auf heise Security erläutert, warum die Experten dem geknackten Hash-Verfahren SHA-1 durchaus noch vertrauen, diskutiert wie realistisch die Angriffszenarien sind und stellt die möglichen Thronerben vor: (ju)

• Hash mich; Konsequenzen der erfolgreichen Angriffe auf SHA-1
• The background article is also available in English: Hash cracked; The consequences of the successful attacks on SHA-1