NIST recomienda reemplazar SHA1

El instituto nacional de estándares y tecnología de los Estados Unidos (NIST) recomendó la semana pasada que se actualice el algoritmo de cifrado SHA1.

SHA1 es una versión con pequeñas modificaciones y es la primera función de hash estandarizada. Esta versión se encuentra en uso desde 1995 y es ampliamente utilizada para proteger la información.

Según las declaraciones del NIST «ha llegado al final de su vida útil» debido a que las altas capacidades de los sistemas informáticos actuales pueden atacar fácilmente el algoritmo. SHA1 deberá eliminarse de forma gradual antes del 31 de diciembre del 2030 usando versiones del algoritmo más seguras como pueden SHA2 o SHA3.

SHA1 protege la información generando un hash que está compuesto por una cadena corta de caracteres que resulta de una operación matemática compleja realizada en el mensaje que se quiere emitir.

La principal amenaza de SHA1 es que la potencia de los sistemas actuales puede crear dos mensajes que forme el mismo hash lo que podría comprometer un mensaje auténtico. Está técnica se conoce como ataque de colisión.

A pesar de que los ataques de colisión contra SHA1 han disminuido significativamente en los últimos años gracias a que los gigantes tecnológicos como Google, Facebook, Microsoft y Mozilla han tomado las medidas oportunas para alejarse del algoritmo. Las autoridades de certificación dejaron de emitir certificados con SHA1 el 1 de enero de 2017.

NIST publicará el Estándar federal de procesamiento de información (FIPS) 180-5, una revisión de FIPS-180 que elimina de forma explícita la especificación SHA1. También realizará una revisión del SP 800-131A y otras publicaciones para reflejar la retirada del uso de SHA1. Además añadirá una estrategia de transición para validar los algoritmos y módulos criptográficos como parte de su programa de validación de módulos criptográficos.

El gobierno no permitirá la compra de módulos que utilicen SHA1 después del 2030. Las empresas tendrán 8 años para actualizar los algoritmos SHA1 por otros más nuevos.

Más información:

• https://www.nist.gov/news-events/news/2022/12/nist-retires-sha-1-cryptographic-algorithm
• https://thehackernews.com/2022/12/goodbye-sha-1-nist-retires-27-year-old.html

La entrada NIST recomienda reemplazar SHA1 se publicó primero en Una al Día.