Elle permet de fabriquer une paire X et X' qui ont la propriété SHA1(X) = SHA1(X'), mais ne permet pas de choisir X ou X
Certes. Autrement dit, elle permet de trouver une collision, mais pas une seconde préimage. D'un autre côté, cela ne présage rien de bon pour les attaques en seconde préimage comme l'a montré l'histoire des attaques sur MD5. D'une manière générale, s'il est impossible de trouver des collisions alors il est impossible de trouver une seconde préimage (l'inverse n'étant pas vrai). Mais ici, il est possible de trouver des collisions... Les secondes préimages ne sont donc sans doutes plus très loin.
Au sujet du papier :
L'attaque dont parle la dépêche est une application des attaques boomerang d'Antoine Joux et de Thomas Peyrin.
Ceux-ci ont montré qu'on pouvait appliquer les attaques boomerang (voir wikipedia, http://fr.wikipedia.org/wiki/Attaque_boomerang ) aux attaques connues sur SHA-1. Une fois trouvé des caractéristiques différentielles sur SHA-1, on peut réduire la complexité de l'attaque déjà connue en 2^57.
Une caractéristique différentielle est en gros un couple de messages différents, dont la différence a une forte probabilité (plus forte que si la fonction de hachage était parfaite) de rester identique au cours de chaque tour de la fonction. C'est une des briques de bases qui permettent de construire deux messages ayant le même hash.
Tout ce que fait le papier est d'exhiber 5 caractéristiques différentielles, il est peu probable qu'ils se soient lourdement trompés en les trouvant :) L'intérêt est de gagner 2^5 sur le temps de la meilleure attaque connue, soit un facteur 32.
Les auteurs disent d'ailleurs qu'ils publieront leur travail bientôt, il ne reste plus qu'à surveiller http://eprint.iacr.org :)
Sinon les successeurs de SHA (SHA-256 & Co), quoique construits sur le même principe de base que SHA-1, ont été étudiées pour justement en améliorer la sécurité. D'ailleurs le fait que les attaques sur SHA-1 ne s'y appliquent pas bien montre bien qu'elles lui sont préférables :) D'une manière générale en cryptographie, un système n'est de toutes façons considéré sûr que parce que la communauté des cryptanalystes a passé beaucoup de temps à l'étudier mais n'a pas trouvé de faille...
[^] # Re: Pas critique
Posté par apterium . En réponse à la dépêche Nouvelles attaques sur SHA-1 : Debian pourrait migrer vers SHA-2. Évalué à 10.
Certes. Autrement dit, elle permet de trouver une collision, mais pas une seconde préimage. D'un autre côté, cela ne présage rien de bon pour les attaques en seconde préimage comme l'a montré l'histoire des attaques sur MD5. D'une manière générale, s'il est impossible de trouver des collisions alors il est impossible de trouver une seconde préimage (l'inverse n'étant pas vrai). Mais ici, il est possible de trouver des collisions... Les secondes préimages ne sont donc sans doutes plus très loin.
Au sujet du papier :
L'attaque dont parle la dépêche est une application des attaques boomerang d'Antoine Joux et de Thomas Peyrin.
Ceux-ci ont montré qu'on pouvait appliquer les attaques boomerang (voir wikipedia, http://fr.wikipedia.org/wiki/Attaque_boomerang ) aux attaques connues sur SHA-1. Une fois trouvé des caractéristiques différentielles sur SHA-1, on peut réduire la complexité de l'attaque déjà connue en 2^57.
Une caractéristique différentielle est en gros un couple de messages différents, dont la différence a une forte probabilité (plus forte que si la fonction de hachage était parfaite) de rester identique au cours de chaque tour de la fonction. C'est une des briques de bases qui permettent de construire deux messages ayant le même hash.
Tout ce que fait le papier est d'exhiber 5 caractéristiques différentielles, il est peu probable qu'ils se soient lourdement trompés en les trouvant :) L'intérêt est de gagner 2^5 sur le temps de la meilleure attaque connue, soit un facteur 32.
Les auteurs disent d'ailleurs qu'ils publieront leur travail bientôt, il ne reste plus qu'à surveiller http://eprint.iacr.org :)
Sinon les successeurs de SHA (SHA-256 & Co), quoique construits sur le même principe de base que SHA-1, ont été étudiées pour justement en améliorer la sécurité. D'ailleurs le fait que les attaques sur SHA-1 ne s'y appliquent pas bien montre bien qu'elles lui sont préférables :) D'une manière générale en cryptographie, un système n'est de toutes façons considéré sûr que parce que la communauté des cryptanalystes a passé beaucoup de temps à l'étudier mais n'a pas trouvé de faille...