Gli sviluppatori di due librerie di codice open source per Secure Shell, il protocollo utilizzato da milioni di computer per creare connessioni crittografate, hanno deciso di non supportare più Secure Hash Algorithm 1 (SHA-1) a causa di alcuni emergenti problemi di sicurezza.
Come riportato per primo da Ars Technica, infatti, gli sviluppatori che utilizzano le librerie OpenSSH e Libssh non saranno più in grado di utilizzare SHA-1 per firmare digitalmente le chiavi di crittografia. Nelle sue note di release, OpenSSH ha spiegato perchà© non supporterà più SHA-1, con questa motivazione:
“Attualmente è possibile eseguire attacchi con prefisso scelto contro l’algoritmo SHA-1 per meno di $ 50.000 USD. Per questo motivo, disabiliteremo l’algoritmo di firma della chiave pubblica “ssh-rsa” per impostazione predefinita, in una versione futura. Questo algoritmo è ancora ampiamente utilizzato nonostante l’esistenza di alternative migliori, essendo l’unico algoritmo di firma di chiave pubblica rimasto specificato dagli RFC SSH originali. “
Che cos’è SHA-1
SHA-1 è una funzione di hash crittografica sviluppata per la prima volta nel 1995. Viene utilizzata per produrre “digest” di hash che sono lunghi ogni 40 caratteri esadecimali e questi digest devono essere distinti per ogni messaggio, file e funzione che li utilizza.
Problema delle collisioni di hash
Una collisione di hash è un termine tecnico utilizzato per descrivere quando due o più input generano lo stesso digest emesso e i ricercatori hanno iniziato a mettere in guardia sul fatto che SHA-1 stava diventando sempre più vulnerabile alle collisioni. Già nel 2017, SHA-1 è stata vittima di un attacco del genere, il che ha costretto molti developer ad abbandonarlo definitivamente nelle proprie implementazioni.
Tuttavia, a gennaio di quest’anno, i ricercatori hanno dimostrato che un attacco di collisione ancora più potente potrebbe essere lanciato per soli $ 45.000. Questo attacco al prefisso scelto ha mostrato che è possibile modificare un input esistente e finire comunque con lo stesso hash SHA-1 e un utente malintenzionato potrebbe utilizzare questo metodo per alterare documenti o software per bypassare i controlli di integrità basati su SHA-1.
Mentre OpenSSH e Libssh non supporteranno più SHA-1, l’algoritmo di crittografia è attualmente supportato nelle ultime versioni di OpenSSL.
Fonte: Ars Technica
Usa il codice
189ed7ca010140fc2065b06e3802bcd5 per ricevere 5 € dopo l’iscrizione
👇 Da non perdere 👇
- Cellulari 📱
- Domini Internet 🌍
- Gratis 🎉
- Spiegoni artificiali 🎓
- WordPress 🤵
- 💬 Il nostro canale Telegram: iscriviti
- 🔵 Database gratis per siti web: dove trovarli
- 🟢 Mini corso / Spiegone di machine learning per newbie totali
- 🟡 DAZN: cos’è l’errore 65-066 e come risolverlo
