Tips voor bedrijven die SHA-1 algoritme gebruiken
Gisteren werd bekend gemaakt dat het SHA-1 hashing algoritme gekraakt was. Er is nog niet veel over de aanval bekend, behalve dat het een zeer ernstig probleem is. Het Internet Storm Centre heeft nu een aantal acties omschreven die bedrijven, die het SHA-1 algoritme gebruiken, kunnen nemen:
- Inventariseer waar SHA1 binnen de organisatie allemaal gebruikt wordt.
- Bepaal of er risico's aan het gebruik zijn verbonden. Volgens de eerste berichten zou de HMAC functie niet kwetsbaar zijn, wat zou betekenen dat VPNs en SSL veilig zijn.
- Zoek naar maatregelen die parallel met SHA1 genomen kunnen worden om waardevolle gegevens te beschermen. (bijvoorbeeld door MD5 met SHA1 te combineren)
- Sta klaar om systemen die SHA1 gebruiken of hier afhankelijk van zijn, te updaten of te vervangen zodra er een update beschikbaar komt.
nu slechts nog 2^69 bruteforce-pogingen nodig zijn in plaats
van de 2^80 zoals voorheen gedacht werd.
zou echter geen praktisch probleem vormen.
Schneier maakt zich weeral eens belachelijk (iedereen
herinnert zich nog dat hij in zijn Cryptogram zei dat AES
gebroken was, wat ook niet waar blijkt te zijn).
paper has a footnote which says that the attack on full
SHA-1 only works if some padding (which SHA-1 requires) is
not done.
niet waar ze het over hebben. Het parallel gebruik van MD5
en SHA-1 zou totaal geen extra veiligheid geboden als SHA-1
daadwerkelijk was gebroken (wat voorlopig het geval nog niet
is).
extra security as you'd think, because of this beautiful
result from Joux at last year's Crypto. Basically, if it
takes you 2^{69} work to cause a collision in SHA1 in a
general context (from most any starting hash value), the
most it can take to find a collision for SHA1 || MD5 is
about 2^{75}--you find 64 places in the message where you
can insert a colliding value for SHA1, and then do a 2^{64}
search to find a collision between those in MD5. (If this
isn't clear, go read the Crypto 2004 paper--the result is
not hard to understand at all!)
--John Kelsey
Deze posting is gelocked. Reageren is niet meer mogelijk.
Security Specialist Malware
NCSC
Zit cybersecurity diep in je DNA? Heb jij het in je om op het moment dat het er echt toe doet samen met je collega’s tot de juiste (technische) oplossing te komen? Als security specialist malware bij het Nationaal Cyber Security Centrum (NCSC) doe jij er alles aan om de impact van digitale dreigingen te verminderen en incidenten tegen te gaan.
Information Security Officer
Grijp deze unieke kans voor carrière-ontwikkeling in informatiebeveiliging! Bij Esri bouw je vertrouwensrelaties op en help je zowel ons als onze klanten veiligere technologie te gebruiken. Ben jij de ervaren Security Officer die energie krijgt van werken in 'twee werelden'? Solliciteer dan nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
No more ransomware!
De nieuwe Ransomware Awareness Experience training biedt een realistische maar vooral leuke introductie in de wereld van ransomware. De deelnemers ervaren hoe eenvoudig een organisatie het slachtoffer kan worden van ransomware en leren meteen hoe een besmetting kan worden voorkomen!