Hashing og dataintegritet

MD5 (Message Digest 5) producerer en 128-bit-hash og blev tidligere brugt meget. Forskere påviste dog kollisionsangreb mod MD5 i 2004 — det vil sige, at man kan finde to forskellige input, der giver den samme hash. Det er katastrofalt for verificering af integritet: En angriber kan erstatte en legitim fil med en ondsindet fil, der har den samme MD5-hash som originalen. MD5 er fuldstændig brudt som kryptografisk sikkerhed og må ikke bruges til verificering af integritet, digitale signaturer eller hashing af adgangskoder. MD5 ses stadig lejlighedsvis i kontrolsummer, der ikke bruges til sikkerhed (for eksempel ældre filverificering), hvilket kun er acceptabelt til at opdage utilsigtet beskadigelse.

Secure Hash Algorithm (SHA)-familien er det vigtigste sæt hashfunktioner i Security+. SHA-1 (160 bit) var standarden i mange år, men blev brudt af et praktisk kollisionsangreb i 2017 (Googles SHAttered-projekt) og er nu udfaset. SHA-256 (en del af SHA-2-familien med et output på 256 bit) er den aktuelle industristandard for digitale signaturer, TLS-certifikater og verificering af filintegritet. SHA-3 (Keccak) er NISTs alternative algoritme, som giver modstandsdygtighed over for angreb, der retter sig mod SHA-2's struktur, selv om SHA-256 fortsat er det dominerende valg i de fleste anvendelser.

Det er aldrig acceptabelt at gemme adgangskoder som almindelig tekst. Når en bruger opretter en adgangskode, gemmes en hash i databasen i stedet for selve adgangskoden. Når brugeren logger ind, hashes den indtastede adgangskode og sammenlignes med den gemte hash. Standardalgoritmen SHA-256 er dog for hurtig til lagring af adgangskoder — angribere bruger GPU'er til at teste milliarder af hashes i sekundet mod stjålne adgangskodedatabaser. Specialudviklede hashfunktioner til adgangskoder som bcrypt, PBKDF2 og Argon2 tilføjer beregningsomkostninger (arbejdsfaktorer) og hukommelseskrav, som gør massevis af cracking upraktisk.

En regnbuetabel er en forudberegnet opslagstabel, der knytter almindelige adgangskoder til deres hashes — så en angriber straks kan slå en hash op og finde den oprindelige adgangskode. For at besejre regnbuetabeller skal adgangskodehashes saltes. Et salt er en tilfældig værdi, der føjes til adgangskoden før hashing, så hver brugers hash bliver unik, selv hvis to brugere har den samme adgangskode. Saltet gemmes sammen med hashen (det behøver ikke at være hemmeligt). Selv hvis en angriber har hele din adgangskodedatabase, er forudberegnede regnbuetabeller ubrugelige, fordi der blev brugt et forskelligt salt til hver hash.

HMAC (Hash-based Message Authentication Code) er en konstruktion, der bruger en hashfunktion sammen med en hemmelig nøgle til at producere en godkendelseskode. I modsætning til en almindelig hash kan en HMAC kun beregnes og verificeres af parter, der kender den hemmelige nøgle. Det giver både integritet (registrering af ændringer) og godkendelse (bevis på, at meddelelsen kom fra nogen med nøglen). HMAC-SHA256 bruges i vid udstrækning til API-godkendelse (signering af API-anmodninger), JWT-tokens og TLS MAC-operationer. Det forhindrer en angriber, der opsnapper en meddelelse, i at erstatte den med et konstrueret alternativ.

Hashfunktioner spiller en central rolle i digitale signaturer. Når du signerer et stort dokument, krypterer du ikke hele dokumentet med den private nøgle (det ville være ekstremt langsomt). I stedet gør du følgende: (1) beregner dokumentets hash (hurtigt og med et lille digest med fast længde) og (2) signerer den lille hash med den private nøgle. Signaturen er blot en krypteret hash. Verificering følger det samme mønster: Dekryptér signaturen for at få hashen, hash dokumentet uafhængigt, og sammenlign dem. SHA-256 er obligatorisk i alle moderne PKI-certifikater; SHA-1 er forbudt i nye certifikater.

Overvågning af filintegritet (FIM) bruger hashfunktioner til at opdage uautoriserede ændringer i kritiske systemfiler. Som grundlag hasher FIM-værktøjet alle overvågede filer og gemmer hasherne sikkert. Med jævne mellemrum (eller løbende) hasher det filerne igen og sammenligner dem med grundlaget. Enhver uoverensstemmelse viser, at en fil er blevet ændret — muligvis af malware eller som følge af en uautoriseret administratorhandling. FIM-værktøjer som Tripwire, AIDE (Linux) og Windows' egen integritetskontrol bruger SHA-256-hashes. FIM er påkrævet af overholdelsesrammer som PCI-DSS for at beskytte miljøer med kortholderdata.

Det er vigtigt at skelne mellem kontrolsummer og kryptografiske hashes. Kontrolsummer som CRC32 er udviklet til at opdage utilsigtet beskadigelse af data under overførsel — de er hurtige og enkle, men kan nemt forfalskes af en angriber. Kryptografiske hashes (SHA-256) er udviklet til at være kollisionsmodstandsdygtige og afsløre manipulation, selv over for målrettede ændringer fra en modstander. Brug kontrolsummer, når du kun har brug for at kontrollere, at en download ikke blev beskadiget under overførslen; brug kryptografiske hashes, når du skal kontrollere, at en fil ikke med vilje er blevet manipuleret af en angriber.

Hashkollisionsangreb har konsekvenser i den virkelige verden. I 2017 oprettede forskere to forskellige PDF-filer med den samme SHA-1-hash — hvilket viste, at SHA-1-certifikater kunne forfalskes. I 2008 brugte forskere MD5-kollisioner til at oprette et falsk CA-certifikat, der så legitimt ud. Det er grunden til, at browsere afviser MD5- og SHA-1-certifikater, og at certifikatmyndigheder som minimum skal bruge SHA-256. Når du forstår kollisionsangreb, kan du bedre forklare, hvorfor algoritmer udfases, og hvorfor »men den producerer jo stadig en hash« ikke er et tilstrækkeligt argument for at bruge brudte algoritmer.

I denne lektion har du lært, at hashfunktioner producerer digests med fast længde til verificering af integritet; at MD5 og SHA-1 er brudte og udfasede; at SHA-256 er den aktuelle standard; at saltning besejrer angreb med regnbuetabeller; og at HMAC tilføjer godkendelse til hashing ved hjælp af en delt hemmelig nøgle. Dernæst ser vi på nøgleudveksling og hybridkryptering.