cryptography - SHA1 在 PBKDF2 中用作散列函数是否仍然安全？

Question

由于 SHA1 的密码分析取得了重大进展，因此应该逐步淘汰它以支持 SHA2 (wikipedia)。

然而，作为 PBKDF2 中的底层哈希函数，它基本上用作 PRNG。因此，使用 SHA1 作为 PBKDF2 的哈希应该仍然是安全的，对吧？

Answer 1

当前已知的 SHA-1 弱点在 HMAC 中使用时都不会对其安全性产生任何影响，在 PBKDF2 中使用时更是如此。就此而言，MD5 也可以(但不是 MD4)。

但是，SHA-1 对公共(public)关系不利:如果在 2011 年使用 SHA-1，那么您必须准备好为自己的选择辩护。另一方面，SHA-256 是一个很好的“默认函数”，没有人会质疑它。

PBKDF2 中没有性能问题(PBKDF2 包含一个“迭代计数”，旨在使其完全符合需要的速度)，因此在这里没有理由更喜欢 SHA-1 而不是 SHA-256。但是，如果您有一个使用 PBKDF2-with-SHA-1 的现有已部署系统，则无需立即“修复”它。