Просмотр кода страницы SHA-1

{{Карточка хеш-функции
|название      = SHA-1
|изображение   = 
|разработчик   = [[Агентство национальной безопасности (США)|NSA]] совместно с [[Национальный институт стандартов и технологий (США)|NIST]]
|создан        = [[1995]]
|опубликован   = [[1995]]
|размер хеша   = 160 бит
|число раундов = 80
|тип           = [[хеш-функция]]
}}

'''Secure Hash Algorithm 1''' — алгоритм [[Криптографическая хеш-функция|криптографического хеширования]]. Описан в RFC 3174. Для входного сообщения произвольной длины (максимум <math>2^{64}-1</math> бит, что примерно равно 2 [[эксабайт]]а) алгоритм генерирует 160-битное (20 байт) хеш-значение, называемое также [[Хеш-сумма|дайджестом]] сообщения, которое обычно отображается как шестнадцатеричное число длиной в 40 цифр. Используется во многих криптографических приложениях и протоколах. Также рекомендован в качестве основного для государственных учреждений в [[США]]. Принципы, положенные в основу SHA-1, аналогичны тем, которые использовались [[Ривест, Рональд|Рональдом Ривестом]] при проектировании [[MD4]].

== История ==
В [[1993 год]]у [[Агентство национальной безопасности (США)|NSA]] совместно с [[Национальный институт стандартов и технологий (США)|NIST]] разработали алгоритм безопасного хеширования (сейчас известный как SHA-0) (опубликован в документе ''[[Федеральные стандарты обработки информации|FIPS]]'' PUB 180) для стандарта безопасного хеширования. Однако вскоре [[Агентство национальной безопасности (США)|NSA]] отозвало данную версию, сославшись на обнаруженную ими ошибку, которая так и не была раскрыта, и заменило его исправленной версией, опубликованной в [[1995 год]]у в документе ''[[Федеральные стандарты обработки информации|FIPS]]'' PUB 180-1. Эта версия и считается тем, что называют SHA-1. Позже, на конференции [[CRYPTO]] в [[1998 год]]у два французских исследователя представили атаку на алгоритм SHA-0, которая не работала на алгоритме SHA-1. Возможно, это и была ошибка, открытая [[Агентство национальной безопасности (США)|NSA]].

== Описание алгоритма ==
[[Файл:SHA-1.svg|thumbnail|right|300px|Одна итерация алгоритма SHA1]]

SHA-1 реализует [[Хеширование|хеш-функцию]], построенную на идее функции сжатия. Входами функции сжатия являются блок сообщения длиной 512 бит и выход предыдущего блока сообщения. Выход представляет собой значение всех хеш-блоков до этого момента. Иными словами, хеш-блок <math>M_i</math> равен <math>h_i = f(M_i, h_{i-1})</math>. Хеш-значением всего сообщения является выход последнего блока.

=== Инициализация ===
Исходное сообщение разбивается на блоки по 512 бит в каждом. Последний блок дополняется до длины, кратной 512 бит. Сначала добавляется 1 (бит), а потом — нули, чтобы длина блока стала равной 512 — 64 = 448 бит. В оставшиеся 64 бита записывается длина исходного сообщения в битах (в [[big-endian]] формате). Если последний блок имеет длину более 447, но менее 512 бит, то дополнение выполняется следующим образом: сначала добавляется 1 (бит), затем — нули вплоть до конца 512-битного блока; после этого создается ещё один 512-битный блок, который заполняется вплоть до 448 бит нулями, после чего в оставшиеся 64 бита записывается длина исходного сообщения в битах (в big-endian формате). Дополнение последнего блока осуществляется всегда, даже если сообщение уже имеет нужную длину.

Инициализируются пять 32-битовых переменных.

 A = 0x67452301
 B = 0xEFCDAB89
 C = 0x98BADCFE
 D = 0x10325476
 E = 0xC3D2E1F0

Определяются четыре нелинейные операции и четыре константы.

{| border=1 class="wikitable"
|-
| <math>F_t(m, l, k) = (m \wedge l) \vee (\neg{m} \wedge k)</math>
| <math>K_t</math> = 0x5A827999
| 0≤t≤19
|-
| <math>F_t(m, l, k) = m \oplus l \oplus k </math>
| <math>K_t</math> = 0x6ED9EBA1
| 20≤t≤39
|-
| <math>F_t(m, l, k) = (m \wedge l) \vee (m \wedge k) \vee (l \wedge k)</math>
| <math>K_t</math> = 0x8F1BBCDC
| 40≤t≤59
|-
| <math>F_t(m, l, k) = m \oplus l \oplus k </math>
| <math>K_t</math> = 0xCA62C1D6
| 60≤t≤79
|}

=== Главный цикл ===
Главный цикл итеративно обрабатывает каждый 512-битный блок. В начале каждого цикла вводятся переменные a, b, c, d, e, которые инициализируются значениями A, B, C, D, E, соответственно. Блок сообщения преобразуется из 16 32-битовых слов <math>M_i</math> в 80 32-битовых слов <math>W_j</math> по следующему правилу:

 <math>W_t  =  M_t </math>                                      при 0≤t≤15<br>
 <math>W_t</math> = (<math>W_t</math><sub>-3</sub> <math>\oplus</math> <math>W_t</math><sub>-8</sub> <math>\oplus</math> <math>W_t</math><sub>-14</sub> <math>\oplus</math> <math>W_t</math><sub>-16</sub>) << 1     при 16≤t≤79<br>
, где «<<» — это циклический сдвиг влево.

 '''для''' <math>t</math> '''от''' 0 '''до''' 79 <br>
 	temp = (a<<5) + <math>F_t</math>(b,c,d) + e + <math>W_t + K_t </math>   <br>
 	e = d <br>
 	d = c <br>
 	c = b<<30                                <br>
 	b = a <br>
 	a = temp 

, где «+» — сложение беззнаковых 32-битных целых чисел с отбрасыванием избытка (33-го бита).

После этого к A, B, C, D, E прибавляются значения a, b, c, d, e, соответственно.
Начинается следующая итерация.

Итоговым значением будет объединение пяти 32-битовых слов (A, B, C, D, E) в одно 160-битное хеш-значение.

=== Псевдокод SHA-1 ===
[[Псевдокод (язык описания алгоритмов)|Псевдокод]] алгоритма SHA-1 следующий:

 
 
  <span style="color: green;">''Замечание: Все используемые переменные 32 бита.''</span>
 
 <span style="color: green;">''Инициализация переменных:''</span>
 h0 = 0x67452301
 h1 = 0xEFCDAB89
 h2 = 0x98BADCFE
 h3 = 0x10325476
 h4 = 0xC3D2E1F0
 
 <span style="color: green;">''Предварительная обработка:''</span>
 Присоединяем бит '1' к сообщению
 Присоединяем k битов '0', где k наименьшее число ≥ 0 такое, что длина получившегося сообщения
 (в битах) [[Сравнение_по_модулю_натурального_числа|сравнима по модулю]]  512 с 448 (length mod 512 == 448)
 Добавляем длину исходного сообщения (до предварительной обработки) как целое 64-битное
 [[Big-endian]] число, в ''битах''.
 
 <span style="color: green;">''В процессе сообщение разбивается последовательно по 512 бит:''</span>
 '''for''' перебираем все такие части
     разбиваем этот кусок на 16 частей, слов по 32-бита (big-endian) w&#91;i&#93;, 0 <= i <= 15
 
     <span style="color: green;">''16 слов по 32-бита дополняются до 80 32-битовых слов:''</span>
     '''for''' i '''from''' 16 '''to''' 79
         w&#91;i&#93; = (w&#91;i-3&#93; '''xor''' w&#91;i-8&#93; '''xor''' w&#91;i-14&#93; '''xor''' w&#91;i-16&#93;) '''[[Циклический сдвиг|циклический сдвиг влево]]''' 1
 
     <span style="color: green;">''Инициализация хеш-значений этой части:''</span>
     a = h0
     b = h1
     c = h2
     d = h3
     e = h4
 
     <span style="color: green;">''Основной цикл:''</span>
     '''for''' i '''from''' 0 '''to''' 79
         '''if''' 0 ≤ i ≤ 19 '''then'''
             f = (b '''and''' c) '''or''' (('''not''' b) '''and''' d)
             k = 0x5A827999
         '''else if''' 20 ≤ i ≤ 39 '''then'''
             f = b '''xor''' c '''xor''' d
             k = 0x6ED9EBA1
         '''else if''' 40 ≤ i ≤ 59 '''then'''
             f = (b '''and''' c) '''or''' (b '''and''' d) '''or''' (c '''and''' d)
             k = 0x8F1BBCDC
         '''else if''' 60 ≤ i ≤ 79 '''then'''
             f = b '''xor''' c '''xor''' d
             k = 0xCA62C1D6
 
         temp = (a '''leftrotate''' 5) + f + e + k + w&#91;i&#93;
         e = d
         d = c
         c = b '''leftrotate''' 30
         b = a
         a = temp
 
     <span style="color: green;">''Добавляем хеш-значение этой части к результату:''</span>
     h0 = h0 + a
     h1 = h1 + b 
     h2 = h2 + c
     h3 = h3 + d
     h4 = h4 + e
 
 <span style="color:green;">''Итоговое хеш-значение(h0, h1, h2, h3, h4 должны быть преобразованы к big-endian):''</span>
 digest = hash = h0 '''append''' h1 '''append''' h2 '''append''' h3 '''append''' h4

Вместо оригинальной формулировки FIPS PUB 180-1 приведены следующие эквивалентные выражения и могут быть использованы на компьютере <code>f</code> в главном цикле:

 (0  ≤ i ≤ 19): f = d '''xor''' (b '''and''' (c '''xor''' d))                <span style="color: green;">''(альтернатива 1)''</span>
 (0  ≤ i ≤ 19): f = (b '''and''' c) '''xor''' (('''not''' b) '''and''' d)          <span style="color: green;">''(альтернатива 2)''</span>
 (0  ≤ i ≤ 19): f = (b '''and''' c) + (('''not''' b) '''and''' d)            <span style="color: green;">''(альтернатива 3)''</span>
 &nbsp;
 (40 ≤ i ≤ 59): f = (b '''and''' c) '''or''' (d '''and''' (b '''or''' c))          <span style="color: green;">''(альтернатива 1)''</span>
 (40 ≤ i ≤ 59): f = (b '''and''' c) '''or''' (d '''and''' (b '''xor''' c))         <span style="color: green;">''(альтернатива 2)''</span>
 (40 ≤ i ≤ 59): f = (b '''and''' c) + (d '''and''' (b '''xor''' c))          <span style="color: green;">''(альтернатива 3)''</span>
 (40 ≤ i ≤ 59): f = (b '''and''' c) '''xor''' (b '''and''' d) '''xor''' (c '''and''' d)  <span style="color: green;">''(альтернатива 4)''</span>

== Примеры ==
Ниже приведены примеры хешей SHA-1. Для всех сообщений подразумевается использование кодировки [[UTF-8]].

Хеш [[Панграмма|панграммы]] на русском:

 SHA-1("В чащах юга жил бы цитрус? Да, но фальшивый экземпляр!")
   = 9e32295f 8225803b b6d5fdfc c0674616 a4413c1b

Хеш [[Панграмма|панграммы]] на английском:

 SHA-1("[[The quick brown fox jumps over the lazy dog]]") 
   = 2fd4e1c6 7a2d28fc ed849ee1 bb76e739 1b93eb12

 SHA-1("sha")
   = d8f45903 20e1343a 915b6394 170650a8 f35d6926

Небольшое изменение исходного текста (одна буква в верхнем регистре) приводит к сильному изменению самого хеша. Это происходит вследствие [[лавинный эффект|лавинного эффекта]].

 SHA-1("Sha") 
   = ba79baeb 9f10896a 46ae7471 5271b7f5 86e74640

Даже для пустой строки вычисляется нетривиальное хеш-значение.

 SHA-1("") 
   = da39a3ee 5e6b4b0d 3255bfef 95601890 afd80709

== Криптоанализ ==
[[Криптоанализ]] хеш-функций направлен на исследование уязвимости для различного вида атак.
Основные из них:
* нахождение коллизий — ситуация, когда двум различным исходным сообщениям соответствует одно и то же хеш-значение.
* нахождение прообраза — исходного сообщения — по его хешу.

При решении [[Полный перебор|методом «грубой силы»]]:
* первая задача требует в среднем 2<sup>160/2</sup> = 2<sup>80</sup> операций, если использовать [[Атака «дней рождения»|атаку Дней рождения]].
* вторая требует 2<sup>160</sup> операций.

От устойчивости хеш-функции к нахождению коллизий зависит безопасность [[Электронная цифровая подпись|электронной цифровой подписи]] с использованием данного хеш-алгоритма. От устойчивости к нахождению прообраза зависит безопасность хранения хешей паролей для целей [[Аутентификация|аутентификации]].

В январе [[2005 год]]а [[Рэймен, Винсент|Винсент Рэймен]] и Элизабет Освальд опубликовали сообщение об атаке на усечённую версию SHA-1 (53 раунда вместо 80), которая позволяет находить коллизии меньше, чем за 2<sup>80</sup> операций.

В феврале [[2005 год]]а [[Сяоюнь Ван]], [[Ицюнь Лиза Инь]] и [[Хунбо Юй]] (Xiaoyun Wang, Yiqun Lisa Yin, Hongbo Yu) представили атаку на полноценный SHA-1, которая требует менее 2<sup>69</sup> операций.

О методе авторы пишут:
{{начало цитаты}}
Мы представляем набор стратегий и соответствующих методик, которые могут быть использованы для устранения некоторых важных препятствий в поиске коллизий в SHA-1. Сначала мы ищем близкие к коллизии дифференциальные пути, которые имеют небольшой «вес Хамминга» в «векторе помех», где каждый бит представляет 6-шаговую локальную коллизию. Потом мы соответствующим образом корректируем дифференциальный путь из первого этапа до другого приемлемого дифференциального пути, чтобы избежать неприемлемых последовательных и усеченных коллизий. В конце концов мы преобразуем два одноблоковых близких к коллизии дифференциальных пути в один двухблоковый коллизионный путь с удвоенной вычислительной сложностью.<ref>{{cite web|url=http://www.infosec.sdu.edu.cn/uploadfile/papers/Finding%20Collisions%20in%20the%20Full%20SHA-1.pdf|title=Finding Collisions in the Full SHA-1|lang=en|description=Статья китайских исследователей о взломе SHA-1|archiveurl=https://www.webcitation.org/61A39qlpS?url=http://www.infosec.sdu.edu.cn/uploadfile/papers/Finding%20Collisions%20in%20the%20Full%20SHA-1.pdf|archivedate=2011-08-23|deadurl=yes}}</ref>
{{oq|en|
We introduce a set of strategies and corresponding techniques that can be used to remove some major obstacles in collision search for SHA-1. Firstly, we look for a near-collision differential path which has low Hamming weight in the "disturbance vector" where each 1-bit represents a 6-step local collision. Secondly, we suitably adjust the differential path in the first round to another possible differential path so as to avoid impossible consecutive local collisions and truncated local collisions. Thirdly, we transform two one-block near-collision differential paths into a twoblock collision differential path with twice the search complexity.
}}
{{конец цитаты}}

Также они заявляют:
{{начало цитаты}}
В частности, наш анализ основан на оригинальной дифференциальной атаке на SHA-0, «near-collision» атаке на SHA-0, мультиблоковой методике, а также методике модификации исходного сообщения, использованных при атаках поиска коллизий на [[HAVAL]]-128, [[MD4]], [[RIPEMD]] и [[MD5]].
{{oq|en|
In particular, our analysis is built upon the original differential attack on SHA-0, the near collision attack on SHA-0, the multi-block collision techniques, as well as the message modification techniques used in the collision search attacks on HAVAL-128, MD4, RIPEMD and MD5.
}}
{{конец цитаты}}

Статья с описанием алгоритма была опубликована в августе [[2005 год]]а на конференции [[CRYPTO]].

В этой же статье авторы опубликовали атаку на усечённый SHA-1 (58 раундов), которая позволяет находить коллизии за 2<sup>33</sup> операций.

В августе [[2005 год]]а на [[CRYPTO]] 2005 эти же специалисты представили улучшенную версию атаки на полноценный SHA-1, с вычислительной сложностью в 2<sup>63</sup> операций.
В декабре [[2007 год]]а детали этого улучшения были проверены Мартином Кохраном.

Кристоф де Каньер и Кристиан Рехберг позже представили усовершенствованную версию атаки на SHA-1, за что были удостоены награды за лучшую статью на конференции [[ASIACRYPT]] [[2006]]. Ими была представлена двухблоковая коллизия на 64-раундовый алгоритм с вычислительной сложностью около 2<sup>35</sup> операций.<ref>{{cite web|url=https://dx.doi.org/10.1007/11935230_1|title=Finding SHA-1 Characteristics: General Results and Applications|lang=en|access-date=2017-10-04|archive-date=2008-07-26|archive-url=https://web.archive.org/web/20080726102016/http://dx.doi.org/10.1007/11935230_1|deadlink=no}}</ref>

Существует масштабный исследовательский проект, стартовавший в [[Грацский технический университет|технологическом университете австрийского города Грац]], который : «… использует компьютеры, соединенные через [[Интернет]], для проведения исследований в области криптоанализа. Вы можете поучаствовать в проекте, загрузив и запустив бесплатную программу на своем компьютере.»<ref>{{cite web|url=http://boinc.iaik.tugraz.at|title=SHA-1 Collision Search Graz|lang=en|description=Исследовательский проект технологического университета Граца|deadlink=unknown-host|archiveurl=https://web.archive.org/web/20081107231039/http://boinc.iaik.tugraz.at/|archivedate=2008-11-07}}</ref>

[[Калински, Бурт|Бурт Калински]], глава исследовательского отдела в «лаборатории [[RSA]]», предсказывает, что первая атака по нахождению прообраза будет успешно осуществлена в ближайшие 5—10 лет.

Ввиду того, что теоретические атаки на SHA-1 оказались успешными, [[Национальный институт стандартов и технологий (США)|NIST]] планирует полностью отказаться от использования SHA-1 в цифровых подписях.<ref>{{cite web|url=http://csrc.nist.gov/groups/ST/hash/statement.html|title=NIST Comments on Cryptanalytic Attacks on SHA-1|lang=en|description=Официальный комментарий NIST по поводу атак на SHA-1|archiveurl=https://www.webcitation.org/6BNBystHR?url=http://csrc.nist.gov/groups/ST/hash/statement.html|archivedate=2012-10-13|deadurl=yes}}</ref>

Из-за блочной и итеративной структуры алгоритмов, а также отсутствия специальной обработки в конце хеширования, все хеш-функции семейства SHA уязвимы для [[Атака удлинением сообщения|атак удлинением сообщения]] и коллизиям при частичном хешировании сообщения.<ref>{{cite web|lang=en|url=http://www.schneier.com/book-ce.html|title=Niels Ferguson, Bruce Schneier, and Tadayoshi Kohno, Cryptography Engineering|archiveurl=https://www.webcitation.org/6BNBzP5Ci?url=http://www.schneier.com/book-ce.html|archivedate=2012-10-13|deadurl=yes}}, John Wiley & Sons, 2010. ISBN 978-0-470-47424-2</ref> Эти атаки позволяют подделывать сообщения, подписанные только хешем — <math>SHA(message || key)</math> или <math>SHA(key || message )</math> — путём удлинения сообщения и пересчёту хеша без знания значения ключа. Простейшим исправлением, позволяющим защититься от этих атак, является двойное хеширование — <math>SHA_d(message) = SHA(SHA(0^b || message))</math> (<math>0^b</math> — блок нулей той же длины, что и блок хеш-функции).

2 ноября [[2007 год]]а [[Национальный институт стандартов и технологий (США)|NIST]] анонсировал конкурс по разработке нового алгоритма [[SHA-3]], который продлился до [[2012 год]]а.<ref>{{cite web|url=http://csrc.nist.gov/groups/SMA/ispab/documents/minutes/2008-06/HashCompetition-June2008_BBurr-JKelsey.pdf|title=NIST Hash Competition|lang=en|description=Конкурс на разработку SHA-3|archiveurl=https://www.webcitation.org/6BNBzvQEO?url=http://csrc.nist.gov/groups/SMA/ispab/documents/minutes/2008-06/HashCompetition-June2008_BBurr-JKelsey.pdf|archivedate=2012-10-13|deadurl=yes}}</ref>

==== SHAppening ====
8 октября 2015 Marc Stevens, Pierre Karpman, и Thomas Peyrin опубликовали атаку на функцию сжатия алгоритма SHA-1, которая требует всего 2<sup>57</sup> вычислений.

==== Реальный взлом: SHAttered (нахождение коллизий) ====
23 февраля 2017 года специалисты из [[Google (компания)|Google]] и [[Центр математики и информатики|CWI]] объявили о практическом взломе алгоритма, опубликовав 2 [[Portable Document Format|PDF]]-файла с одинаковой [[Контрольная сумма|контрольной суммой]] SHA-1. Это потребовало перебора <math>9 \times 10^{18}</math> вариантов, что заняло бы 110 лет на 1 [[Графический процессор|GPU]]<ref>{{Cite web |url=https://habrahabr.ru/post/322478/ |title=Первый способ генерации коллизий для SHA-1 |access-date=2017-03-09 |archive-date=2017-03-10 |archive-url=https://web.archive.org/web/20170310042133/https://habrahabr.ru/post/322478/ |deadlink=no }}</ref>.

== Сравнение SHA-1 с другими алгоритмами ==

=== Сравнение с MD5 ===
И [[MD5]], и SHA-1 являются, по сути, улучшенными продолжениями [[MD4]].

'''Сходства:'''
# Четыре этапа.
# Каждое действие прибавляется к ранее полученному результату.
# Размер блока обработки, равный 512 бит.
# Оба алгоритма выполняют сложение по модулю 2<sup>32</sup>, они рассчитаны на 32-битную архитектуру.

'''Различия:'''
# В SHA-1 на четвёртом этапе используется та же функция f, что и на втором этапе.
# В [[MD5]] в каждом действии используется уникальная прибавляемая константа. В SHA-1 константы используются повторно для каждой из четырёх групп.
# В SHA-1 добавлена пятая переменная.
# SHA-1 использует [[циклический код]] исправления ошибок.
# В [[MD5]] четыре сдвига, используемые на каждом этапе, отличаются от значений, используемых на предыдущих этапах. В [[SHA]] на каждом этапе используется постоянное значение сдвига.
# В [[MD5]] — четыре различных элементарных логических функции, в SHA-1 — три.
# В [[MD5]] длина дайджеста составляет 128 бит, в SHA-1 — 160 бит.
# SHA-1 содержит больше раундов (80 вместо 64) и выполняется на 160-битном буфере по сравнению со 128-битным буфером [[MD5]]. Таким образом, SHA-1 должен выполняться приблизительно на 25 % медленнее, чем [[MD5]] на той же аппаратуре.

[[Шнайер, Брюс|Брюс Шнайер]] делает следующий вывод : «SHA-1 — это [[MD4]] с добавлением расширяющего преобразования, дополнительного этапа и улучшенным лавинным эффектом. [[MD5]] — это [[MD4]] с улучшенным битовым хешированием, дополнительным этапом и улучшенным лавинным эффектом.»

=== Сравнение с ГОСТ Р 34.11-94 ===
Ряд отличительных особенностей [[ГОСТ Р 34.11-94]]:
# При обработке блоков используются преобразования по алгоритму [[ГОСТ 28147—89]];
# Обрабатывается блок длиной 256 бит, и выходное значение тоже имеет длину 256 бит.
# Применены меры борьбы против поиска коллизий, основанном на неполноте последнего блока.
# Обработка блоков происходит по алгоритму шифрования [[ГОСТ 28147—89]], который содержит преобразования на [[S-блоки|S-блоках]], что существенно осложняет применение метода [[Дифференциальный криптоанализ|дифференциального криптоанализа]] к поиску коллизий алгоритма [[ГОСТ Р 34.11-94]]. Это существенный плюс по сравнению с SHA-1.
# Теоретическая криптостойкость [[ГОСТ Р 34.11-94]] равна 2<sup>128</sup>, что во много раз превосходит 2<sup>80</sup>для SHA-1.
<!-- на какой машине и на какой реализации алгоритма? Без указания этого говорить об абсолютных цифрах скорости хэширования нельзя
# Скорость обработки данных для SHA-1 — 48.462*2<sup>20</sup> байт/с, а для [[ГОСТ Р 34.11-94]] — 9.977*2<sup>20</sup> байт/с.-->

=== Сравнение с другими SHA ===
В таблице «промежуточный размер хеша» означает «размер внутренней хеш-суммы» после каждой итерации.

{| border=1 class="wikitable"
! colspan="2" | Вариации алгоритма
! Размер выходного хеша (бит)
! Промежуточный размер хеша (бит)
! Размер блока (бит)
! Максимальная длина входного сообщения (бит)
! Размер слова (бит)
! Количество раундов
! Используемые операции
! Найденные коллизии
|- align="center"
| colspan="2" | '''SHA-0''' || 160 || 160 || 512 || 2<sup>64</sup> − 1 || 32 || 80 || +,and, or, xor, rotl || Есть
|- align="center"
| colspan="2" | '''SHA-1''' || 160 || 160 || 512 || 2<sup>64</sup> − 1 || 32 || 80 || +,and, or, xor, rotl || 2<sup>52</sup> операций
|- align="center"
| rowspan="2" | '''[[SHA-2]]''' || ''SHA-256/224'' || 256/224 || 256 || 512 || 2<sup>64</sup> − 1 || 32 || 64 || +,and, or, xor, shr, rotr || Нет
|- align="center"
| ''SHA-512/384'' || 512/384 || 512 || 1024 || 2<sup>128</sup> − 1 || 64 || 80 || +,and, or, xor, shr, rotr || Нет
|}

== Использование ==
Хеш-функции используются в [[Система управления версиями|системах контроля версий]], системах электронной подписи, а также для построения кодов [[Аутентификация|аутентификации]].

SHA-1 является наиболее распространенным из всего семейства {{нп5|Алгоритмы криптографического хэширования|SHA||Secure Hash Algorithms}} и применяется в различных широко распространенных криптографических приложениях и алгоритмах.

SHA-1 используется в следующих приложениях:
* [[S/MIME]] — дайджесты сообщений.
* [[SSL]] — дайджесты сообщений.
* [[IPSec]] — для алгоритма проверки целостности в соединении «точка-точка».
* [[SSH]] — для проверки целостности переданных данных.
* [[PGP]] — для создания электронной цифровой подписи.
* [[Git]] — для идентификации каждого объекта по SHA-1-хешу от хранимой в объекте информации.
* [[Mercurial]] — для идентификации ревизий
* [[BitTorrent (протокол)|BitTorrent]] — для проверки целостности загружаемых данных.
'''SHA-1''' является основой блочного шифра [[SHACAL]].

=== Отказ от использования ===
Компания [[Google (компания)|Google]] давно выразила своё недоверие SHA-1, особенно для использования этой функции для подписи сертификатов [[TLS]]. Ещё в 2014 году, вскоре после публикации работы Марка Стивенса, группа разработчиков [[Google Chrome|Chrome]] объявила о постепенном отказе от использования SHA-1.

С 25 апреля 2016 года [[Яндекс Почта]] перестала поддерживать старые почтовые программы, использующие SHA-1<ref>{{Cite web|url=https://yandex.ru/support/mail/mail-clients/sha-256.xml|title=Обновление почтовых программ — Почта — Яндекс.Помощь|publisher=yandex.ru|accessdate=2016-04-07|archive-date=2016-04-20|archive-url=https://web.archive.org/web/20160420070950/https://yandex.ru/support/mail/mail-clients/sha-256.xml|deadlink=no}}</ref>.

== Примечания ==
{{примечания|2}}

== Литература ==
* {{Книга:Шнайер Б.: Прикладная криптография}}
* {{Книга:Фергюсон Н., Шнайер Б.: Практическая криптография}}

== Ссылки ==
* RFC 3174{{ref-en}}
* [http://www.w3.org/PICS/DSig/SHA1_1_0.html Обзор SHA-1 от Консорциума Всемирной паутины] {{Wayback|url=http://www.w3.org/PICS/DSig/SHA1_1_0.html |date=20050304074240 }}{{ref-en}}
* [http://www.schneier.com/blog/archives/2005/02/sha1_broken.html Взлом SHA-1] {{Wayback|url=http://www.schneier.com/blog/archives/2005/02/sha1_broken.html |date=20170505152637 }}{{ref-en}}
* [https://www.webcitation.org/61A39qlpS?url=http://www.infosec.sdu.edu.cn/uploadfile/papers/Finding%20Collisions%20in%20the%20Full%20SHA-1.pdf Доклад о взломе SHA1]{{ref-en}}
* [http://www.schneier.com/blog/archives/2005/02/cryptanalysis_o.html Брюс Шнайер о взломе SHA] {{Архивировано|url=https://www.webcitation.org/6CaZxHamO?url=http://www.schneier.com/blog/archives/2005/02/cryptanalysis_o.html |date=2012-12-01 }}{{ref-en}}
* [http://www.heise-online.co.uk/security/Hash-cracked--/features/75686/0 Последствия удачных атак на SHA-1] {{Wayback|url=http://www.heise-online.co.uk/security/Hash-cracked--/features/75686/0 |date=20081226212806 }}{{ref-en}}

{{Хеш-алгоритмы}}

[[Категория:Криптографические хеш-функции]]
[[Категория:Стандарты криптографии]]