SHA1 es Retirado de los Browsers

Bogotá D.C., mayo 10 de 2016.

El SHA (Secure Hash Algorithm, Algoritmo de Hash Seguro) es una familia de funciones hash de cifrado publicadas por el Instituto Nacional de Estándares y Tecnología (NIST). La primera versión del algoritmo fue creada en 1993 con el nombre de SHA, aunque en la actualidad se la conoce como SHA-0 para evitar confusiones con las versiones posteriores.

La segunda versión del sistema, publicada con el nombre de SHA-1, fue publicada dos años más tarde. SHA-1 ha sido examinado muy de cerca por la comunidad criptográfica pública, y no se ha encontrado ningún ataque efectivo.

Microsoft planea retirar el soporte para certificados TLS firmados con el algoritmo de Hash SHA1 en junio de 2016 porque una nueva investigación muestra que es más propenso a colisiones criptográficas de lo que se pensaba.

Las colisiones permiten generar el mismo valor de hash para distintos mensajes y permitirían falsificaciones de firma digital.

Debido a que se calcula que en 2018 ya podría haber la suficiente cantidad de poder de cómputo para romperlo, los investigadores advierten que este algoritmo debe ser retirado cuanto antes.

En estos meses, las versiones más recientes de Edge y Microsoft Internet Explorer dejarán de mostrar la barra de seguridad al visitar sitios HTTPS protegidos por certificados SHA1.

A principios de 2016, las autoridades de certificación dejaron de emitir certificados basados en SHA1 y, en enero de 2017, la mayoría de los fabricantes de navegadores comenzarán a advertir a los usuarios cuando visiten sitios HTTPS basados en SHA1.

Google Chrome y Mozilla Firefox durante mucho tiempo han etiquetado tales conexiones como no confiables, incluso mientras continuaban permitiendo las conexiones.

El retiro de SHA1 ha sido planificado desde 2012, cuando se demostró que adversarios bien financiados podrían romperlo dentro de los próximos seis años.

Los planes se aceleraron después de que la investigación citada anteriormente, publicada en octubre, confirmara que los ataques ya eran factibles a finales de 2015. SHA1 está siendo sustituido por SHA2, un algoritmo mucho más resistente a las colisiones.

En general, SHA1 se considera el mejor algoritmo de la familia de Algoritmos HASH o de resumen y es el que se aplica en la mayoría de las aplicaciones de firma electrónica. Por lo tanto es muy habitual aplicar SHA1 seguido de RSA para realizar una firma electrónica de un documento, o bien el algoritmo DSA específico para firma  electrónica que también utiliza SHA1 internamente. Pero con las actualizaciones realizadas se han publicado SHA-2 en 2001 (formada por diversas funciones: SHA-224, SHA-256, SHA-384, y SHA-512) y la más reciente, SHA-3, que fue seleccionada en una competición de funciones hash celebrada por el NIST en 2012. Esta última versión se caracteriza por ser la que más difiere de sus predecesoras.

Fuente: Segu.Info Noticias Sobre Seguridad de la Información