Tags:
Node Thumbnail

กระบวนการอัพเดตวินโดวส์ในปัจจุบันรองรับค่าแฮชทั้ง SHA-1 และ SHA-2 หากใช้วินโดวส์รุ่นเก่าอย่าง Windows 7 SP1, Windows Server 2008 R2 SP1 และ Windows Server 2008 SP2 ที่ไม่รองรับ SHA-2 ก็จะได้อัพเดตที่ยืนยันความถูกต้องของไฟล์อัพเดตด้วยการเซ็นยืนยันโค้ดแบบ SHA-1

ล่าสุดไมโครซอฟท์ประกาศว่าหลังจากเดือนกรกฎาคม 2019 เป็นต้นไป กระบวนการอัพเดตวินโดวส์ของไมโครซอฟท์จะใช้เฉพาะค่าแฮช SHA-2 เท่านั้น ทำให้เครื่องที่รันวินโดวส์เวอร์ชันที่รองรับ SHA-1 จะไม่ได้รับอัพเดต โดยไมโครซอฟท์ให้เหตุผลด้านความปลอดภัยของ SHA-1 ทำให้มาตรฐานอุตสาหกรรมขยับไป SHA-2 และ SHA-3 กันหมดแล้ว

Tags:
Node Thumbnail

โครงการช่วงหลังเริ่มหันมาใช้ Git กันมากขึ้นแต่โครงการจำนวนมากก็ยังคงใช้ Subversion กันเป็นปกติ ปรากฎว่าการโจมตี SHAttered ที่สร้างไฟล์ที่ค่าแฮชตรงกันสร้างความเสียหายได้มากกว่าที่คิด เมื่อมันสามารถทำฐานข้อมูล Subversion พังได้ทันทีเพียงแค่เช็คอินสองไฟล์ที่ค่าแฮชตรงกันเข้าไป

เหยื่อรายแรกๆ ของช่องโหว่นี้คือโครงการ Webkit ที่เป็นฐานของเบราว์เซอร์จำนวนมาก โดยนักพัฒนาเช็คอินไฟล์ทั้งสองเพื่อทดสอบว่าระบบแคชของ Webkit ยังคงทำงานได้ถูกต้อง แต่เมื่อเช็คอินแล้วปรากฎว่า Subversion เสียหายไปและทำงานต่อทั้ง เช็คอินและเช็คเอาท์โค้ดต่อไม่ได้

Tags:
Node Thumbnail

รายงาน SHAttered ที่สามารถสร้างไฟล์สองไฟล์ที่ค่าแฮชตรงกันได้สำเร็จทำให้โครงการต่างๆ ที่อาศัย SHA-1 เป็นแกนกลางต้องพิจารณาความปลอดภัยกันใหม่ โครงการหลักๆ สองโครงการคือ Git และ GPG ก็ออกมาชี้แจงแล้ว

ไลนัสออกมาตอบข้อสงสัยใน Git ที่ใช้ SHA-1 เป็นแกนกลาง โดยระบุ Git ระบุว่าแต่ละฟิลด์ของ Git ต้องระบุถึงชนิดข้อมูลและขนาดข้อมูลไปพร้อมกัน ทำให้การแก้ไขข้อมูลโดยที่ข้อมูลเหล่านี้ยังถูกต้องอยู่ทำได้ยาก อย่างไรก็ดีมีออปเจกต์บางส่วนที่สามารถแก้ไขมูลตรงกลางได้ ก็นับว่ามีความเสี่ยง แต่โดยรวมแล้วมุมมองคือปัญหาอาจจะไม่ได้ร้ายแรงขนาดนั้น แนวทางหลังจากนี้อาจจะมีการตรวจสอบข้อมูลเพิ่มเติมเพื่อป้องกันการสร้าง Git โดยใส่ข้อมูลประหลาดเข้าไป

Tags:
Node Thumbnail

ค่าแฮช SHA-1 มีรายงานว่ามีช่องโหว่จนอ่อนแอกว่าที่ออกแบบไว้อย่างมาก มานานหลายปี โดยกูเกิลประกาศให้ใบรับรองที่รับรองโดย SHA-1 ไม่ปลอดภัยมาตั้งแต่ปี 2014 แต่จนกระทั่งวันนี้ก็ยังไม่มีใครปลอมไฟล์ที่มีค่าแฮช SHA-1 ตรงกันได้จริงๆ ล่าสุดทีมวิจัยร่วมระหว่างมหาวิทยาลัยอัมสเตอร์ดัม และ Google Research ก็สามารถสร้างไฟล์ PDF สองไฟล์ที่ค่าแฮชตรงกันได้สำเร็จ โดยใช้ชื่อกระบวนการปลอมไฟล์นี้ว่า SHAttered

Tags:
Topics: 
Node Thumbnail

คอมพิวเตอร์ควันตัมสามารถประมวลผลข้อมูลบางรูปแบบได้เร็วกว่าคอมพิวเตอร์ทุกวันนี้เป็นอย่างมากทำให้กระบวนการเข้ารหัสที่เคยปลอดภัยในทุกวันนี้อาจจะใช้งานไม่ได้อีกต่อไป รายงานจากแคนาดาพยายามประเมินเวลาในการคำนวณหาข้อมูลที่ได้ค่าแฮชตามกำหนด (preimage attack)

Tags:
Topics: 
Node Thumbnail

hashcat โปแกรมแกะรหัสผ่านจากค่าแฮชประกาศโอเพนซอร์สให้คนนำไปใช้งานต่อได้ โดยใช้สัญญาอนุญาตแบบ MIT ทำให้คนที่นำไปใช้ต่อมีอิสระแทบทุกอย่าง

ผู้ดูแลโครงการระบุว่าก่อนหน้านี้เคยพิจารณาจะเปิดซอร์สของ hashcat มาแล้วหลายครั้ง แต่ติดปัญหาเช่นผู้ใช้บางส่วนติดสัญญาไม่เปิดเผยข้อมูล ขณะเดียวกันการเปิดซอร์สก็จะทำให้โครงการ hashcat ใช้ทรัพยากรโอเพนซอร์สได้อีกมาก เช่นโครงการ GPG การตัดสินใจครั้งล่าสุดมาจากการอิมพลีเมนต์เคอร์เนล DES GPU ที่จำเป็นต้องคอมไพล์ค่า salt เข้าไปในโค้ดเพื่อรีดประสิทธิภาพสูงสุด

โค้ดทั้งหมดอยู่ใน GitHub โครงการหลักคือ hashcat และ oclHashcat

Tags:
Node Thumbnail

BLAKE2 เป็นอัลกอริทึมแฮชที่เข้าแข่งขันให้เป็นมาตรฐาน SHA-3 ของ NIST (องค์กรมาตรฐานทางเทคโนโลยีของสหรัฐฯ) และเข้ารอบไปถึงรอบสุดท้ายที่อัลกอริทึมเข้ารอบ 5 อัลกอริทึม แม้สุดท้าย Keccak จะเป็นผู้ชนะได้เป็นมาตรฐาน SHA-3 แต่ผู้สร้าง BLAKE2 ก็เสนอให้เป็นมาตรฐานทางเลือกหนึ่งของ IETF

กระบวนการเสนอมาตรฐานมีการเสนอมาตั้งแต่ต้นปีที่ผ่านมา ตอนนี้เอกสารก็ตีพิมพ์เป็น RFC7693 เรียบร้อยแล้ว