hash - 为什么 SHA-1 被认为是不安全的？

Question

由于研究人员发现的缺陷，Microsoft、google 和 mozilla 已决定在 2017 年不接受它。我看到 SHA-1 几乎在所有地方都在贬值，仅仅是因为人们认为它不再安全了。但与 MD5 不同的是，目前在 SHA-1 上没有发现已知的冲突。并且即使是最快的 SHA-1 碰撞算法仍然需要将近 2^60 次评估，这仍然是一个非常大的数字。

我的问题是，为什么 SHA-1 这种尚未发现任何冲突且仍需要大量时间才能找到冲突的哈希算法会贬值？我知道 SHA-2 更安全，但它也比 SHA-1 慢，为什么大多数人建议以性能换取所谓的“安全性”，而在大多数情况下 SHA-1 的安全性甚至不是问题？

Answer 1

SHA-1 因碰撞攻击而较弱:

https://en.wikipedia.org/wiki/SHA-1#Attacks

In an interview, Yin states that, "Roughly, we exploit the following two weaknesses: One is that the file preprocessing step is not complicated enough; another is that certain math operations in the first 20 rounds have unexpected security problems."

---

https://www.schneier.com/blog/archives/2005/02/sha1_broken.html

collisions in the the full SHA-1 in 2^69 hash operations, much less than the brute-force attack of 2^80 operations based on the hash length.

collisions in SHA-0 in 2^39 operations.

collisions in 58-round SHA-1 in 2^33 operations.

SHA-1 的压缩函数存在碰撞攻击，只需要 2^57 次 SHA-1 评估