สำเร็จเป็นครั้งแรก !! Google พัฒนาการโจมตีเพื่อให้ค่าแฮช SHA-1 ชนกัน

กุมภาพันธ์ 24, 2017 8:21 am โดย admin
0
25

 

SHA-1 หรือ Secure Hash Algorithm 1 ฟังก์ชันแฮชยอดนิยมเตรียมสาบสูญไปจากโลก หลังจากที่ทีมนักวิจัยจาก Google และสถาบัน Centrum Wiskunde & Information (CWI) ประเทศเนเธอร์แลนด์ ประสบความสำเร็จในการพัฒนาวิธีโจมตีเพื่อให้ค่าแฮช SHA-1 ของเอกสารที่แตกต่างกัน 2 ชุดมีค่าตรงกัน ที่สำคัญคือเร็วกว่าการโจมตีแบบ Brute Force ถึง 100,000 เท่า

Collision Attack ทำลายระบบความปลอดภัย

ฟังก์ชันแฮช SHA-1 ถูกพัฒนาในปี 1995 โดย National Security Agency (NSA) เพื่อใช้เป็นส่วนหนึ่งของอัลกอริธึม Digital Signature เช่นเดียวกับฟังก์ชันแฮชอื่นๆ SHA-1 จะทำการแปลงข้อมูลอินพุทให้กลายเป็นข้อความที่ประกอบด้วยตัวเลขและตัวอักษรเฉพาะตัว ไม่ซ้ำกัน อย่างไรก็ตาม ถ้าข้อมูลอินพุทที่แตกต่างกัน 2 ชุดก่อให้เกิดผลลัพธ์ข้อความที่เหมือนกัน เรียกว่าเกิดการชนกันของข้อมูล (Collision) ส่งผลให้แฮ็คเกอร์สามารถใช้การชนกันนี้ในการปลอม Digital Signature เพื่อโจมตีระบบที่มั่นคงปลอดภัยได้ เช่น ปลอมแปลงข้อมูลธุรกรรมการเงิน ปลอมแปลงไฟล์สำหรับดาวน์โหลด และอื่นๆ

อธิบายให้เห็นภาพชัด คือ เสมือนแฮ็คเกอร์สามารถผ่าตัดปลอมแปลงลายนิ้วมือของตัวเองให้ตรงกับลายนิ้วมือของเหยื่อ เพื่อใช้ปลดล็อกสมาร์ทโฟนของเหยื่อนั่นเอง

นักวิจัยจากหลายสำนักต่างออกมาแจ้งเตือนถึงความไม่มั่นคงปลอดภัยของอัลกอริธึม SHA-1 ในปัจจุบันมาตั้งแต่เมื่อ 10 ปีก่อน ในขณะที่เว็บเบราเซอร์ชั้นนำต่างๆ เช่น Chrome, Firefox และ Edge ต่างก็เตรียมเลิกรับรอง SHA-1 บน SSL Certificate ภายในต้นปี 2017 นี้ แต่ฟังก์ชันแฮชดังกล่าวยังคงถูกใช้งานอย่างแพร่หลายจนถึงปัจจุบัน

จุดเริ่มต้นคือ Freestart Collision เมื่อ 2 ปีก่อน

เดือนตุลาคม 2015 ทีมนักวิจัยจาก CWI นำโดย Marc Stevens ได้เผยแพร่งานวิจัยที่ระบุถึงวิธีการปฏิบัติเพื่อให้เกิดการชนกันของค่าแฮชที่ได้จากฟังก์ชัน SHA-1 โดยเรียกการโจมตีนี้ว่า Freestart Collision ซึ่ง ณ เวลานั้นทีมนักวิจัยระบุว่าต้องลงทุนเป็นจำนวนเงินสูงถึง $75,000 ถึง $120,000 จากการใช้ขุมพลังประมวลผล Amazon EC2 บนระบบ Cloud เป็นระยะเวลาหลายเดือนเพื่อให้การโจมตีประสบผลสำเร็จ

หลังจากนั้น Google ได้เข้ามาร่วมทีมกับนักวิจัยจาก CWI เพื่อเปลี่ยนงานวิจัยเชิงทฤษฎีให้กลายเป็นเครื่องมือที่สามารถใช้โจมตีได้จริง ซึ่งประสบความสำเร็จวันนี้แล้ว โดยตั้งชื่อว่า SHAttered ใช้เงินลงทุนไป $110,000 หรือประมาณ 3.8 ล้านบาท จากการใช้ระบบ Cloud ของ Amazon Web Services

เร็วกว่าการโจมตีแบบ Brute Force ถึง 100,000 เท่า

ทีมนักวิจัยระบุว่า การโจมตีแบบ SHAttered นี้ เร็วกว่าการโจมตีแบบ Brute Force ถึง 100,000 เท่า และสามารถสร้างการชนกันของค่าแฮชบนไฟล์ข้อมูลของ Git หรือแม้แต่ Digital Signature ได้ สามารถดูตัวอย่าง PoC ได้ที่ไฟล์ PDF1 และ PDF2 ที่ให้ค่าแฮช SHA-1 เหมือนกัน แต่เอกสารทั้ง 2 ฉบับนี้แตกต่างกันอย่างเห็นได้ชัด

“การโจมตีนี้จำประมวลผล SHA1 รวมแล้วมากกว่า 9,223,372,036,854,775,808 ครั้ง ซึ่งเทียบเท่ากับการใช้ CPU 1 ตัวประมวลผลนาน 6,500 ปี และ 110 ปีสำหรับ GPU 1 ตัว … ถึงแม่ว่าตัวเลขเหล่านี้จะมีจำนวนมหาศาล การโจมตีแบบ SHA-1 SHAttered ยังคงเร็วกว่าการโจมตีแบบ Brute Force ที่ไม่มีทางทำได้จริงถึง 100,000 เท่า” — นักวิจัยระบุ

เตรียมแผยแพร่โค้ด PoC ภายใน 90 วัน

ถึงแม้ว่านักวิจัยด้านความมั่นคงปลอดภัยจะออกมาแจ้งเตือน และเว็บเบราเซอร์เตรียมเลิกรับรอง SHA-1 ในต้นปี 2017 นี้ แต่ SHA-1 ก็ยังคงเป็นฟังก์ชันแฮชยอดนิยม แม้แต่ Git เองก็ยังใช้ SHA-1 ในการตรวจสอบ Integrity ของข้อมูล อย่างไรก็ตาม มันถึงเวลาแล้วที่จะเปลี่ยนไปใช้ฟังก์ชันแฮชที่มั่นคงปลอดภัยกว่า เช่น SHA-256 หรือ SHA-3

Google เตรียมจะเผยแพร่โค้ด PoC ที่ใช้ในการโจมตีภายใน 90 วัน ซึ่งผู้ที่สนใจสามารถนำไปทดสอบเพื่อสร้างคู่ไฟล์ PDF ที่แตกต่างกันแต่มีค่าแฮชตรงกันภายใต้เงื่อนไขที่กำหนดได้ ขณะเดียวกัน Git และผู้ที่ใช้ SHA-1 อยู่ก็มีเวลา 3 เดือนในการเปลี่ยนไปใช้ฟังก์ชันแฮชที่มีความมั่นคงปลอดภัยกว่าแทน

ที่มาและเครดิตรูปภาพ: https://security.googleblog.com/2017/02/announcing-first-sha1-collision.html และ http://thehackernews.com/2017/02/sha1-collision-attack.html




แสดงความคิดเห็น

banner

ไอที/มือถือ

เมื่อวานนี้ทาง Google ได้เปิดเผยถึงข้อมูลเกี่ยวกับชิพประมวลผลแยกที่มีไว้สำหรับประมวลผลภาพใน Pixel 2 และ Pixel 2 XL ที่ส่งผลให้ประมวลผลภาพได้เร็วมากขึ้น แต่นั้นไม่ใช่ประเด็นหลักในข่าวนี้

ประเด็นในตอนนี้ก็คือทางกูเกิ้ลยืนยันแล้วแล้วจะมีอัพเดต Android 8.1 Oreo แน่นอนว่าเป็นตัวพรีวิว Developer Preview (MR1) ซึ่งจะปล่อยให้อัพเดตใน “ไม่กี่สัปดาห์ที่จะถึง” นี้ (เค้าเขียนงี้จริงๆนะ)

โดยมือถือที่จะได้รับอัพเดตที่กำลังจะปล่อยออกมาก็คงหนีไม่พ้น Pixel มือถือของกูเกิ้ลเองล่ะครับ(ทั้งสองรุ่นเลยนะ) และที่สำคัญอัพเดตนี้จะทำการเปิดทำงานชิพประมวลผลแยกใน Pixel 2 ที่มีไว้สำหรับประมวลผลภาพอีกด้วย

Pixel Visual Core

หน้าตาโครงสร้างของ Pixel Visual Core

แต่ว่าข้อมูลที่เปิดเผยออกมาจะมีเพียงเท่านี้ เพราะทางกูเกิ้ลไม่ได้พูดถึงข้อมูลอื่นหรือฟีเจอร์ที่จะมาในอัพเดตนี้อีกเลย แต่ถ้าอัพเดตออกมาแล้วคงจะได้เห็นการทดสอบประสิทธิภาพกล้องของ Pixel 2 และ Pixel 2 XL กันอีกยกใหญ่เลยล่ะ

Google Pixel 2 Android 8.1 Oreo

อ้างอิง : 1 2

ร่วมแสดงความคิดเห็น

0 ความเห็น

Google ยืนยันแล้วแล้วจะมีอัพเดต Android 8.1 Oreo แน่นอนว่าเป็นตัวพรีวิว Developer Preview (MR1) ซึ่งจะปล่อยให้อัพเดตให้มือถือ Pixel เป็นตัวแรกแน่นอน

เมื่อวานนี้ทาง Google ได้เปิดเผยถึงข้อมูลเกี่ยวกับชิพประมวลผลแยกที่มีไว้สำหรับประมวลผลภาพใน Pixel 2 และ Pixel 2 XL ที่ส่งผลให้ประมวลผลภาพได้เร็วมากขึ้น แต่นั้นไม่ใช่ประเด็นหลักในข่าวนี้

ประเด็นในตอนนี้ก็คือทางกูเกิ้ลยืนยันแล้วแล้วจะมีอัพเดต Android 8.1 Oreo แน่นอนว่าเป็นตัวพรีวิว Developer Preview (MR1) ซึ่งจะปล่อยให้อัพเดตใน “ไม่กี่สัปดาห์ที่จะถึง” นี้ (เค้าเขียนงี้จริงๆนะ)

โดยมือถือที่จะได้รับอัพเดตที่กำลังจะปล่อยออกมาก็คงหนีไม่พ้น Pixel มือถือของกูเกิ้ลเองล่ะครับ(ทั้งสองรุ่นเลยนะ) และที่สำคัญอัพเดตนี้จะทำการเปิดทำงานชิพประมวลผลแยกใน Pixel 2 ที่มีไว้สำหรับประมวลผลภาพอีกด้วย

Pixel Visual Core

หน้าตาโครงสร้างของ Pixel Visual Core

แต่ว่าข้อมูลที่เปิดเผยออกมาจะมีเพียงเท่านี้ เพราะทางกูเกิ้ลไม่ได้พูดถึงข้อมูลอื่นหรือฟีเจอร์ที่จะมาในอัพเดตนี้อีกเลย แต่ถ้าอัพเดตออกมาแล้วคงจะได้เห็นการทดสอบประสิทธิภาพกล้องของ Pixel 2 และ Pixel 2 XL กันอีกยกใหญ่เลยล่ะ

Google Pixel 2 Android 8.1 Oreo

อ้างอิง : 1 2

ร่วมแสดงความคิดเห็น

0 ความเห็น

Google ยืนยันแล้วแล้วจะมีอัพเดต Android 8.1 Oreo แน่นอนว่าเป็นตัวพรีวิว Developer Preview (MR1) ซึ่งจะปล่อยให้อัพเดตให้มือถือ Pixel เป็นตัวแรกแน่นอน" alt="Google ยืนยันแล้วแล้วจะมีอัพเดต Android 8.1 Oreo

เมื่อวานนี้ทาง Google ได้เปิดเผยถึงข้อมูลเกี่ยวกับชิพประมวลผลแยกที่มีไว้สำหรับประมวลผลภาพใน Pixel 2 และ Pixel 2 XL ที่ส่งผลให้ประมวลผลภาพได้เร็วมากขึ้น แต่นั้นไม่ใช่ประเด็นหลักในข่าวนี้

ประเด็นในตอนนี้ก็คือทางกูเกิ้ลยืนยันแล้วแล้วจะมีอัพเดต Android 8.1 Oreo แน่นอนว่าเป็นตัวพรีวิว Developer Preview (MR1) ซึ่งจะปล่อยให้อัพเดตใน “ไม่กี่สัปดาห์ที่จะถึง” นี้ (เค้าเขียนงี้จริงๆนะ)

โดยมือถือที่จะได้รับอัพเดตที่กำลังจะปล่อยออกมาก็คงหนีไม่พ้น Pixel มือถือของกูเกิ้ลเองล่ะครับ(ทั้งสองรุ่นเลยนะ) และที่สำคัญอัพเดตนี้จะทำการเปิดทำงานชิพประมวลผลแยกใน Pixel 2 ที่มีไว้สำหรับประมวลผลภาพอีกด้วย

Pixel Visual Core

หน้าตาโครงสร้างของ Pixel Visual Core

แต่ว่าข้อมูลที่เปิดเผยออกมาจะมีเพียงเท่านี้ เพราะทางกูเกิ้ลไม่ได้พูดถึงข้อมูลอื่นหรือฟีเจอร์ที่จะมาในอัพเดตนี้อีกเลย แต่ถ้าอัพเดตออกมาแล้วคงจะได้เห็นการทดสอบประสิทธิภาพกล้องของ Pixel 2 และ Pixel 2 XL กันอีกยกใหญ่เลยล่ะ

Google Pixel 2 Android 8.1 Oreo

อ้างอิง : 1 2

ร่วมแสดงความคิดเห็น

0 ความเห็น

Google ยืนยันแล้วแล้วจะมีอัพเดต Android 8.1 Oreo แน่นอนว่าเป็นตัวพรีวิว Developer Preview (MR1) ซึ่งจะปล่อยให้อัพเดตให้มือถือ Pixel เป็นตัวแรกแน่นอน

เมื่อวานนี้ทาง Google ได้เปิดเผยถึงข้อมูลเกี่ยวกับชิพประมวลผลแยกที่มีไว้สำหรับประมวลผลภาพใน Pixel 2 และ Pixel 2 XL ที่ส่งผลให้ประมวลผลภาพได้เร็วมากขึ้น แต่นั้นไม่ใช่ประเด็นหลักในข่าวนี้

ประเด็นในตอนนี้ก็คือทางกูเกิ้ลยืนยันแล้วแล้วจะมีอัพเดต Android 8.1 Oreo แน่นอนว่าเป็นตัวพรีวิว Developer Preview (MR1) ซึ่งจะปล่อยให้อัพเดตใน “ไม่กี่สัปดาห์ที่จะถึง” นี้ (เค้าเขียนงี้จริงๆนะ)

โดยมือถือที่จะได้รับอัพเดตที่กำลังจะปล่อยออกมาก็คงหนีไม่พ้น Pixel มือถือของกูเกิ้ลเองล่ะครับ(ทั้งสองรุ่นเลยนะ) และที่สำคัญอัพเดตนี้จะทำการเปิดทำงานชิพประมวลผลแยกใน Pixel 2 ที่มีไว้สำหรับประมวลผลภาพอีกด้วย

Pixel Visual Core

หน้าตาโครงสร้างของ Pixel Visual Core

แต่ว่าข้อมูลที่เปิดเผยออกมาจะมีเพียงเท่านี้ เพราะทางกูเกิ้ลไม่ได้พูดถึงข้อมูลอื่นหรือฟีเจอร์ที่จะมาในอัพเดตนี้อีกเลย แต่ถ้าอัพเดตออกมาแล้วคงจะได้เห็นการทดสอบประสิทธิภาพกล้องของ Pixel 2 และ Pixel 2 XL กันอีกยกใหญ่เลยล่ะ

Google Pixel 2 Android 8.1 Oreo

อ้างอิง : 1 2

ร่วมแสดงความคิดเห็น

0 ความเห็น

Google ยืนยันแล้วแล้วจะมีอัพเดต Android 8.1 Oreo แน่นอนว่าเป็นตัวพรีวิว Developer Preview (MR1) ซึ่งจะปล่อยให้อัพเดตให้มือถือ Pixel เป็นตัวแรกแน่นอน" style="top:-5px; width: 100%;"/>

อ่าน 1 ตอบ 0