Un groupe de chercheurs a réussi à créer deux fichiers PDF qui génèrent la même empreinte cryptographique avec l’algorithme de hachage SHA-1. Une première mondiale qui a nécessité une importante puissance de calcul.
Dans le monde feutré des cryptographes, tout le monde savait que ce n’était qu’une question de temps. Le moment fatidique est désormais arrivé : la fonction de hachage cryptographique SHA-1 a été définitivement cassée par un groupe de chercheurs issus des instituts Google Research et CWI Amsterdam.
Le hachage cryptographique est un élément essentiel dans les systèmes de sécurité informatique. Il permet, à partir d’une quantité arbitraire de données, de créer une empreinte unique de taille fixe à partir de laquelle il est impossible de deviner les données d’origine. C’est extrêmement utile dans tout un tas d’applications comme les communications chiffrées (TLS, SSL), les signatures électroniques, les systèmes de sauvegarde, les transactions bancaires, etc. La plupart des services web, par exemple, utilisent des empreintes de mots de passe pour authentifier leurs utilisateurs.
Créé en 1995 par la NSA, l’algorithme SHA-1 a longtemps été l’une des principales fonctions de hachage utilisée dans le monde. A partir de 2005, des chercheurs ont commencé à pointer des failles potentielles dans ce dispositif et à élaborer des attaques. Celles-ci restaient théoriques car elles nécessitaient une puissance de calcul inatteignable. Mais la puissance des ordinateurs ne cessant d’augmenter, le NIST - un organisme de standardisation - a officiellement recommandé de ne plus utiliser SHA-1 en 2011.
Les chercheurs de Google Research et CWI Amsterdam viennent d’enfoncer le clou dans le cercueil de cet algorithme en réalisant, pour la première fois, une "collision cryptographique". Autrement dit, ils ont réussi à créer deux fichiers PDF différents qui génèrent la même empreinte, prouvant ainsi de manière concrète la vulnérabilité. Cette attaque – baptisée SHAttered - permettrait, par exemple, d’apposer la même signature électronique sur deux documents différents, ouvrant la porte à des arnaques diverses et variées. Les chercheurs publieront le code source de leur attaque dans 90 jours. A partir de là, tout le monde pourra donc créer des paires de fichiers PDF ayant la même empreinte SHA-1.
Générer cette collision n’a pas été une mince affaire. Il a fallu réaliser plus de… 9 milliards de milliards d’itérations SHA-1. Ce qui correspond à une puissance de calcul équivalente à un CPU qui tourne pendant 6.500 ans et un GPU pendant 110 ans, car il y a deux phases de calcul différentes dans cette attaque. Les détails mathématiques relatifs à ce calcul sont précisés dans un papier scientifique. Ce travail a été réalisé concrètement sur un réseau de serveurs Google. La première phase s’est appuyée sur des puces Xeon E5-2650v3 cadencées à 2,3 GHz. Pour la deuxième phase, les chercheurs ont utilisé des puces graphiques nVidia Tesla K20/K40/K80.
35 % des sites web s’appuient encore sur SHA-1
En dehors du côté spectaculaire, cette attaque réussie montre également que les systèmes qui utilisent encore SHA-1 ne sont plus en sécurité. Même si la plupart des grands acteurs comme Google, Microsoft, Mozilla ou Facebook ont banni SHA-1 au niveau de leurs produits ou services, l’algorithme reste encore largement diffusé. Selon Threatpost, 35 % des sites web utilisent toujours des certificats basés sur SHA-1. C’est également le cas pour 10 % des systèmes de paiement par carte bancaire. Le logiciel d’aide au développement informatique GIT, largement utilisé par les codeurs, repose également sur SHA-1.
Les utilisateurs qui pensent qu’ils ont affaire à un fichier piégé créé spécialement dans le cadre d’une attaque par collision peuvent le vérifier sur le site shattered.io, créé spécialement par les chercheurs. Il suffit d’uploader le fichier pour en avoir le cœur net. Cet outil, en effet, « est basé sur le concept de contre-cryptanalyse et il est capable de détecter des attaques par collision connues ou inconnues, à partir d’un seul fichier d’une paire entrant en collision », explique les chercheurs. Les administrateurs systèmes, quant à eux, sont invités à ne plus implémenter SHA-1, mais de la remplacer par un successeur comme SHA-3 ou SHA-256.