Алгоритму SHA-1 определенно пора «на покой». В конце февраля 2017 года специалисты Google, при поддержке ученых из нидерландского Centrum Wiskunde & Informatica (Центр математики и информатики), доказали, что созданный в далеком 1995 году SHA-1 уязвим перед коллизионными атаками. То есть злоумышленники, опираясь на коллизии хеш-фукнций, действительно могут создать поддельный файл, с таким же SHA-1 хешем, как у настоящей версии файла.
Но эксперты говорят о небезопасности SHA-1 больше десяти лет, и доказательство уязвимости алгоритма вряд ли стало для кого-то открытием. Так, разработчики Google, Microsoft и Mozilla уже перестали поддерживать работу с сертификатами SHA-1, и даже Facebook собирается поступить так же. Большинство удостоверяющих центров с начала 2017 года тоже не работают с SHA-1. Однако все это, похоже, мало тревожит владельцев сайтов. Специалисты компании Venafi провели исследование, согласно результатам которого, один сайт из пяти до сих пор использует SHA-1 сертификаты.
В целом новый отчет компании Venafi показывает, что с ноября 2016 года произошли изменения к лучшему. Тогда исследователи проверили 33 млн публично видимых IPv4-ресурсов и пришли к выводу, что сертификаты SHA-1 использует 35% сайтов, то есть каждый третий ресурс. Сейчас этот показатель уже равен 21%.
«Полагаю, что многие организации могут просто не знать о том, что они все еще используют SHA-1 сертификаты в своих сетях, потому как для управления ключами и сертификатами они полагаются на решения, предоставляемые удостоверяющим центром. Проблема такого подхода, особенно сейчас, когда бесплатные или дешевые сертификаты широкодоступны, заключается в том, что любой сотрудник организации может получить и установить в вашей сети сертификат, который использует слабые алгоритмы хеширования», — пишет специалист Venafi Шелли Бус (Shelley Boose).
Глава по стратегии безопасности Venafi Кевин Босек (Kevin Bocek) добавляет: «Несмотря на то, что многие организации стараются отказаться от использования SHA-1, они не имеют никакой видимой и автоматической необходимости завершать этот переход. Мы уже наблюдали эту проблему раньше, когда организации переживали трудные времена, пытаясь скоординировать замену ключей и сертификатов в ответ на проблему Heartbleed, и, к сожалению, я уверен, мы увидим все это снова».
