2月23日，谷歌在密碼學(xué)領(lǐng)域搗騰出一個(gè)大事：破解了網(wǎng)頁加密中的一個(gè)主要算法SHA-1，并實(shí)現(xiàn)了世界上第一次SHA-1對(duì)撞攻擊。這就意味著，曾經(jīng)被廣泛應(yīng)用的SHA-1算法，在經(jīng)歷過質(zhì)疑后終于到了搖搖欲墜的地步了。

　　圖：Google公布兩個(gè)PDF文件經(jīng)過SHA-1處理后產(chǎn)生了相同的哈希值

所謂SHA-1，就是一個(gè)散列函數(shù)，又叫哈希函數(shù)。簡(jiǎn)單來說，它的作用就是給指定的文件生成一個(gè)數(shù)字指紋，讓文件擁有一個(gè)唯一的“身份”。 SHA-1被應(yīng)用在很多的安全加密協(xié)議中，包括在網(wǎng)頁上下載一些重要文件。

但是現(xiàn)在，谷歌的這個(gè)破解就表示SHA-1本身已經(jīng)有漏洞出現(xiàn)，根據(jù)這個(gè)漏洞，可以生成兩個(gè)相同的哈希函數(shù)值，并實(shí)現(xiàn)碰撞。這會(huì)讓攻擊者有利可圖，因?yàn)槭褂玫膼阂馕募?，可以有一個(gè)完全一樣的合法身份在包庇。

事實(shí)上，普通用戶完全沒必要過于擔(dān)心。密碼學(xué)家已經(jīng)預(yù)測(cè)到這種碰撞很多年了，對(duì)怎么做以及需要多少計(jì)算力，都了解的很清楚。

記者了解到，目前，多數(shù)網(wǎng)站都已經(jīng)棄用了SHA-1。雖然也就是在2014年的時(shí)候，網(wǎng)絡(luò)上九成的加密都是用的它，但隨后的幾年它迅速被拋棄。截至今年的1月1日，當(dāng)你訪問一個(gè)經(jīng)由SHA-1加密的網(wǎng)站時(shí)，每一個(gè)主流的瀏覽器都會(huì)向你發(fā)出警告（一般情況是全屏紅色）。雖然很難說還有多少網(wǎng)站在用它，但正常的網(wǎng)絡(luò)活動(dòng)都是安全的。

而早在幾年前，密碼專家就預(yù)言SHA-1被破解的可能性，在谷歌宣布破解SHA-1之前，微軟Edge和IE已于月初放棄SHA-1簽署的TLS證書，Mozilla也表示將于今年7月1日停止，Chrome更是早在2014年就開始對(duì)SHA-1加密的網(wǎng)頁進(jìn)行警告。

在安全軟件方面，360安全衛(wèi)士官方微博評(píng)論說：“體會(huì)一下攻破SHA-1加密的難度：900億億次SHA-1計(jì)算量，110個(gè)GPU運(yùn)算一年時(shí)間，6500個(gè)CPU運(yùn)算一年時(shí)間。盡管成本不低，SHA-1確實(shí)已不再安全了，網(wǎng)絡(luò)服務(wù)商需要加以重視。360云安全系統(tǒng)采用比SHA-1增強(qiáng)的加密算法，完全不受SHA-1被攻破的影響，用戶可以放心”。

根據(jù)Google的披露政策，其將在90天后說明是如何破解SHA-1。雖然這個(gè)破解對(duì)于大多數(shù)互聯(lián)網(wǎng)用戶而言沒有明顯影響，甚至不用專門去打個(gè)補(bǔ)丁，但谷歌公布的結(jié)果對(duì)于密碼學(xué)和網(wǎng)絡(luò)安全的基礎(chǔ)理論研究上都有著重大意義。