Hashning och dataintegritet

En kryptografisk hashfunktion är en matematisk algoritm som tar emot en indata av valfri storlek och producerar en utdata med fast längd, kallad en hash, digest eller fingeravtryck. Hashfunktioner är envägsfunktioner: givet en hash ska det vara beräkningsmässigt orimligt att fastställa den ursprungliga indatan. De är deterministiska: samma indata ger alltid samma hash. Hashfunktioner utgör grunden för verifiering av dataintegritet, digitala signaturer, lösenordslagring och många andra säkerhetsmekanismer.

En säker kryptografisk hashfunktion måste ha fyra viktiga egenskaper. Motstånd mot urbildsattacker: givet en hashutdata ska det vara beräkningsmässigt orimligt att hitta en indata som ger den. Motstånd mot andra urbilden: givet en indata ska det vara orimligt att hitta en annan indata med samma hash. Kollisionsresistens: det ska vara orimligt att hitta två olika indata som ger samma hashutdata. Lavineffekt: även en ändring av en enda bit i indatan orsakar en helt annan hashutdata, vilket gör manipulering upptäckbar.

MD5 (Message Digest 5) producerar en 128-bitars hash och användes tidigare i stor utsträckning. År 2004 demonstrerade forskare dock kollisionsattacker mot MD5 – det går alltså att hitta två olika indata som producerar samma hash. Detta är katastrofalt för integritetsverifiering: en angripare skulle kunna ersätta en skadlig fil som har samma MD5-hash som originalet. MD5 är helt knäckt för kryptografisk säkerhet och får inte användas för integritetsverifiering, digitala signaturer eller lösenordshashning. Den förekommer fortfarande ibland i kontrollsummor utan säkerhetskrav (äldre filverifiering), vilket endast är acceptabelt för att upptäcka oavsiktlig korruption.

Familjen Secure Hash Algorithm (SHA) är den viktigaste uppsättningen hashfunktioner för Security+. SHA-1 (160 bitar) var standard i många år men knäcktes genom en praktiskt genomförbar kollisionsattack 2017 (Googles SHAttered-projekt) och är nu föråldrad. SHA-256 (en del av SHA-2-familjen, med 256-bitars utdata) är dagens branschstandard för digitala signaturer, TLS-certifikat och verifiering av filintegritet. SHA-3 (Keccak) är NIST:s alternativa algoritm och erbjuder motstånd mot attacker som riktar sig mot SHA-2:s struktur, även om SHA-256 fortfarande är det dominerande valet i de flesta tillämpningar.

Det är aldrig acceptabelt att lagra lösenord i klartext. När en användare skapar ett lösenord lagras en hash i databasen i stället för själva lösenordet. När användaren loggar in hashas det angivna lösenordet och jämförs med den lagrade hashen. Vanlig SHA-256 är dock för snabb för lösenordslagring – angripare använder GPU:er för att testa miljarder hashningar per sekund mot stulna lösenordsdatabaser. Specialiserade lösenordshashfunktioner som bcrypt, PBKDF2 och Argon2 ökar beräkningskostnaden (arbetsfaktorerna) och minneskraven, vilket gör massknäckning opraktisk.

En regnbågstabell är en förberäknad uppslagstabell som kopplar vanliga lösenord till deras hashvärden. Den gör det möjligt för en angripare att omedelbart slå upp en hash och hitta det ursprungliga lösenordet. För att stoppa regnbågstabeller måste lösenordshashar saltas. Ett salt är ett slumpmässigt värde som läggs till lösenordet före hashningen, så att varje användares hash blir unik även om två användare har samma lösenord. Saltet lagras tillsammans med hashen och behöver inte vara hemligt. Även om en angripare har hela lösenordsdatabasen är förberäknade regnbågstabeller oanvändbara, eftersom varje hash har skapats med ett annat salt.

HMAC (Hash-based Message Authentication Code) är en konstruktion som använder en hashfunktion tillsammans med en hemlig nyckel för att skapa en autentiseringskod. Till skillnad från en vanlig hash kan en HMAC endast beräknas och verifieras av parter som känner till den hemliga nyckeln. Detta ger både integritet (upptäckt av ändringar) och autentisering (bevis på att meddelandet kommer från någon som har nyckeln). HMAC-SHA256 används i stor utsträckning för API-autentisering (signering av API-begäranden), JWT-token och TLS-MAC-operationer. Det hindrar en angripare som avlyssnar ett meddelande från att ersätta det med ett egenkonstruerat alternativ.

Hashfunktioner spelar en central roll i digitala signaturer. När ett stort dokument signeras krypterar man inte hela dokumentet med den privata nyckeln, eftersom det skulle vara extremt långsamt. I stället gör man följande: (1) beräknar dokumentets hash (snabbt och med en liten digest med fast längd) och (2) signerar den lilla hashen med den privata nyckeln. Signaturen är alltså en krypterad hash. Verifieringen följer samma mönster: dekryptera signaturen för att få fram hashen, hasha dokumentet separat och jämför resultaten. SHA-256 är obligatoriskt i alla moderna PKI-certifikat, medan SHA-1 är förbjudet i nya certifikat.

Övervakning av filintegritet (FIM) använder hashfunktioner för att upptäcka obehöriga ändringar i kritiska systemfiler. Vid etablering av en baslinje hashar FIM-verktyget alla övervakade filer och lagrar hashvärdena säkert. Med jämna mellanrum, eller kontinuerligt, hashas filerna på nytt och jämförs med baslinjen. En avvikelse visar att en fil har ändrats, potentiellt av skadlig kod eller genom en obehörig administratörsåtgärd. FIM-verktyg som Tripwire, AIDE (Linux) och Windows egna integritetskontroller använder SHA-256-hashar. FIM krävs enligt efterlevnadsramverk som PCI-DSS för att skydda miljöer med kortinnehavaruppgifter.

Det är viktigt att skilja mellan kontrollsummor och kryptografiska hashvärden. Kontrollsummor som CRC32 är utformade för att upptäcka oavsiktlig datakorruption under överföring. De är snabba och enkla, men kan lätt förfalskas av en angripare. Kryptografiska hashfunktioner (SHA-256) är utformade för att vara kollisionsresistenta och avslöja manipulering, även vid avsiktlig manipulation av en angripare. Använd kontrollsummor när Ni endast behöver verifiera att en hämtning inte skadades under överföringen, och använd kryptografiska hashvärden när Ni behöver verifiera att en fil inte avsiktligt har manipulerats av en angripare.

Hashkollisionsattacker får verkliga konsekvenser. År 2017 skapade forskare två olika PDF-filer med samma SHA-1-hash, vilket visade att SHA-1-certifikat kunde förfalskas. År 2008 använde forskare MD5-kollisioner för att skapa ett falskt CA-certifikat som såg legitimt ut. Det är därför webbläsare avvisar MD5- och SHA-1-certifikat och certifikatutfärdare måste använda minst SHA-256. Genom att förstå kollisionsattacker blir det lättare att förklara varför algoritmer fasas ut och varför ”men den producerar ju fortfarande en hash” inte är ett tillräckligt argument för att använda knäckta algoritmer.

I den här lektionen har Ni lärt Er att hashfunktioner producerar digester med fast längd för integritetsverifiering, att MD5 och SHA-1 är knäckta och föråldrade, att SHA-256 är dagens standard, att saltning stoppar attacker med regnbågstabeller och att HMAC lägger till autentisering i hashning med hjälp av en delad hemlig nyckel. Härnäst utforskar vi Nyckelutbyte och hybridkryptering.