¿Cómo una colisión de certificado https SHA-1 hace que un sitio web sea inseguro?

Las funciones hash, como SHA-1, son la base de todos los esquemas de firma ampliamente utilizados. Cuando ve algo que dice RSA, DSA, ECDSA, etc., etc. como el algoritmo de firma, toda la aritmética que utilizan esos esquemas de firma se calcula en el hash. Es decir, el proceso de firmar algún mensaje M (incluido D como resumen de hash, que da como resultado S como firma), es el siguiente:

  1. D = Hash (M)
  2. S = SigAlg (M)

Se vuelve fácil ver que si podemos encontrar dos mensajes M y M ‘que den como resultado el mismo resumen de hash (colisión), que tendrán la misma firma y, por lo tanto, una firma calculada en uno de los dos se verificará como válida para el otro.

El cifrado SHA-1 es una función hash criptográfica desarrollada y diseñada por la Agencia de Seguridad Nacional de los Estados Unidos. SHA-1 tiene un Estándar de procesamiento de información federal de EE. UU. Publicado por el NIST de EE. UU.

SHA-1 ya no es un algoritmo más seguro debido a los ataques continuos y tiene un valor hash de 160 bits (20 bytes), que es débil para atacar según los criptoanalistas. SHA-1 tiene el algoritmo MD5, que no es suficiente para detener a los piratas informáticos o el acceso de terceros mientras roban datos en Internet.

Si aún utiliza el cifrado SHA-1 en su certificado, debe volver a emitir su certificado con SHA-2. Para más detalles sobre la modificación en los valores hash SHA. Algoritmo SHA-2: una revolución para una mejor seguridad del sitio web