De recent onthulde aanval op het sha-1-algoritme kan in theorie ook worden gebruikt om backdoors in BitTorrent-bestanden te verbergen. Onderzoekers van het Centrum Wiskunde & Informatica (CWI) in Amsterdam en Google demonstreerden de zogeheten collision-aanval op het sha-1-hashingalgoritme.

Een hashingalgoritme wordt als veilig beschouwd als het voor elke willekeurige invoer een unieke uitvoer heeft en dat die uitvoer niet is terug te draaien zodat de invoer achterhaald kan worden. Doordat de uitvoer niet is te manipuleren worden hashes gebruikt om bijvoorbeeld de geldigheid van certificaten en bestanden aan te tonen en het gehasht opslaan van wachtwoorden. De onderzoekers lieten echter zien dat het mogelijk was om voor twee verschillende bestanden dezelfde sha-1-waarde te genereren.

Volgens onderzoeker Tamas Jos kan de aanval ook worden gebruikt om de inhoud van een via BitTorrent gedownload bestand aan te passen dat de download beschadigt of een backdoor activeert. Bij BitTorrent wordt een bestand in delen opgesplitst. Gebruikers downloaden en uploaden deze losse delen, die bij elkaar het volledige bestand vormen. Voor elk deel wordt een sha-1-waarde berekent. Aan de hand van deze waarde wordt vervolgens de authenticiteit van het bestand bepaald.

Jos waarschuwt dat een aanvaller een torrent-bestand zou kunnen aanbieden waarbij er verschillende versies van een exe-bestand worden gedownload, zonder dat dit gevolgen heeft voor de sha-1-waarde van de opgesplitste delen. "Een aanvaller kan het uitvoerpad van het uitvoerbare bestand veranderen door aangepaste delen van het bestand aan te bieden als het slachtoffer het uitvoerbare bestand via het BitTorrent-protocol downloadt", aldus Jos. Als voorbeeld heeft de onderzoeker twee exe-bestanden met verschillende functionaliteit die hetzelfde torrent-bestand opleveren.

Jos stelt dat het hier vooralsnog niet om een serieus probleem gaat. Gebruikers kunnen zich daarnaast beschermen door de sha-256-hash van een gedownload bestand controleren. De onderzoeker merkt echter op dat er niet veel torrentsites zijn die dergelijke hash-waardes aanbieden. "Het is een interessante proof-of-concept, maar het dreigingsscenario is nog steeds dat iemand een uitvoerbaar bestand via BitTorrent downloadt en uitvoert, zonder de checksum van het bestand te controleren", aldus een lezer op Reddit.