SHA-1 Hash Üreteci

A: Her ikisi de güvensizdir, ancak SHA-1 MD5'den biraz daha iyidir. MD5: 1) 128 bit çıktı. 2) 2004'te kırıldı, çarpışma karmaşıklığı 2^39. 3) Çarpışma saldırıları sıradan bilgisayarlarda saatler içinde tamamlanabilir.SHA-1: 1) 160 bit çıktı. 2) 2017'de kırıldı, çarpışma karmaşıklığı yaklaşık 2^63. 3) Çarpışma saldırıları önemli hesaplama kaynakları gerektiriyor ancak pratikte gösterildi.Sonuç: Güvenlik senaryolarında hiçbiri kullanılmamalıdır; SHA-256 veya daha üst düzey algoritmalar kullanın.

A: Git, commit'leri, ağaçları ve nesneleri tanımlamak için SHA-1 kullanıyor, ancak bu eski bir sorundur. Tarihsel Nedenler: Git 2005'te oluşturulduğunda SHA-1 güvenli kabul ediliyordu. Uyumluluk: Hash algoritmasını değiştirmek tüm mevcut depolarla uyumluluğu bozar.Risk Değerlendirmesi: Git'in kullanım durumu (sürüm kontrolü) SSL sertifikalarından farklıdır; çarpışma saldırısı riski görece daha düşüktür.Geçiş Planı: Git SHA-256'ya geçiş yapıyor (Git 2.29+ destekliyor), ancak geçiş zaman alıyor. Azaltma: Git, SHAttered tipi saldırıları tespit etmek için çarpışma tespit mekanizmaları uyguluyor. Öneri: Yeni depolar SHA-256 kullanmalıdır; eski depolar SHA-1 kullanmaya devam edebilir (ancak risklerin farkında olun).

A: Kesinlikle hayır. SHA-1 yalnızca çarpışma açıklarına sahip olmakla kalmaz, aynı zamanda parola depolama için de uygun değildir. Sorunlar: 1) Çok Hızlı: GPU'lar saniyede milyarlarca SHA-1 hash'i hesaplayabilir, kolayca kaba kuvvetle kırılabilir. 2) Çarpışma Açığı: Saldırganlar aynı hash'e sahip farklı parolalar üretmek için çarpışmaları kullanabilir. 3) Tuz Yok: SHA-1'i tek başına kullanmak gökkuşağı tablosu saldırılarına karşı savunma yapamaz.Doğru Yaklaşım: Özel parola hash algoritmaları kullanın: 1) Argon2 (OWASP tarafından önerilir). 2) bcrypt (maliyet faktörü ≥ 12). 3) PBKDF2-SHA256 (≥ 600k iterasyon).

A: SHAttered, Google tarafından 2017'de gösterilen ve SHA-1'in pratikte kırıldığını kanıtlayan bir SHA-1 çarpışma saldırısıdır. Saldırı Prensibi: Aynı SHA-1 hash değerine sahip iki farklı PDF dosyası üretmek. Hesaplama Maliyeti: Yaklaşık 6500 yıllık CPU süresi ve 110 yıllık GPU süresi (dağıtık hesaplama). Etki: 1) SHA-1 çarpışma saldırılarının uygulanabilir olduğunu kanıtlar. 2) Saldırı maliyeti zamanla azalır; gelecekte daha kolay hale gelebilir. 3) Büyük tarayıcılar SHA-1 sertifikalarına güvenmeyi durdurdu. Örnek: Google aynı SHA-1 hash değerine sahip iki farklı PDF dosyası yayımladı (shattered.io).

A: SHA-256'ya geçiş, etkiyi değerlendirmeyi ve bir geçiş planı geliştirmeyi gerektirir. Etkiyi Değerlendirme: 1) SHA-1 kullanan tüm sistemleri ve bileşenleri belirleyin. 2) Geçiş uyumluluğunu ve maliyetini değerlendirin. 3) Geçiş önceliklerini belirleyin (önce güvenliğe duyarlı senaryolar). Geçiş Stratejileri: 1) Çift Hash: Hem SHA-1 hem SHA-256 hesaplayın, kademeli geçiş yapın. 2) Sürüm Tanımlama: Verilerde kullanılan hash algoritmasını tanımlayın. 3) Aşamalı Geçiş: Önce yeni verileri, sonra eski verileri taşıyın.Git Geçişi: SHA-256 depoları oluşturmak için git config --global init.defaultBranch main ve git config --global extensions.objectFormat sha256 kullanın.

A: SHA-1 yalnızca güvenlik gerektirmeyen senaryolar için uygundur ve mümkün olan en kısa sürede daha güvenli algoritmalara geçilmelidir. Kabul Edilebilir Kullanımlar: 1) Dosya Tekilleştirme: Güvenlik gerektirmeyen senaryolarda yinelenen dosyaları tanımlama (ancak SHA-256 daha iyidir). 2) Sağlama Toplamları: Kazara veri bozulmasını tespit etme (kötü niyetli değişiklik değil). 3) Eski Sistem Uyumluluğu: Yükseltilemeyen sistemleri koruma (geçici çözüm). Kabul Edilemez Kullanımlar: 1) Dijital imzalar. 2) SSL/TLS sertifikaları. 3) Kod imzalama. 4) Parola depolama. 5) Güvenliğe duyarlı herhangi bir senaryo. Öneri: Güvenlik gerektirmeyen senaryolarda bile SHA-256 önceliklendirilmelidir çünkü performans farkı minimumdur ancak güvenlik büyük ölçüde iyileşir.