Tudo que você precisa saber sobre a mudança do SHA-1 para SHA-2

O que é SHA?

A sigla SHA significa Secure Hash Algorithm (Algoritmo de Hash Seguro), é um conjunto de funções hash criptográficas projetadas pela NSA (Agência de Segurança Nacional dos EUA).

Uma função hash gera um valor ou valores de uma sequência de texto usando uma função matemática, é uma maneira de ativar a segurança durante o processo de transmissão de uma mensagem para um destinatário específico.

Quando um usuário envia uma mensagem através da segurança SHA, é gerado um hash criptografado e enviado junto com a mensagem, o hash e a mensagem são decifrados pelo receptor e em seguida é gerado outro hash à partir da mensagem.

Se os dois hashes gerados são semelhantes quando feita a comparação, a transmissão segura foi efetuada. Todo esse processo garante que a mensagem não possa ser interceptada ou visualizada por um destinatário não autorizado.

Um pouco sobre SHA-1 e SHA-2

O SHA-1 foi publicado oficialmente como um padrão em 1995, e os hashes são utilizados para validar a integridade de um conteúdo digital, sendo eles parte de qualquer certificado digital.

Sem os algoritmos de hash, a autenticação digital seria extremamente difícil ou até mesmo impossível.

Em 2002 um novo tipo de hash criptografado chamado SHA-2 tornou-se o padrão recomendado. Muitas vezes chamado de família de hashes SHA-2 por conter chaves de criptografia de diferentes tamanhos (224 bits, 256 bits, 384 bits e 512 bits).

Apesar de constantemente atacado e pequenas fraquezas serem identificadas, o SHA-2 é considerado forte e sem dúvida é muito melhor do que o SHA-1.

Ainda estou seguro com SHA-1?

Sim, podemos dizer que ainda é seguro usar a criptografia SHA-1, porém não por muito tempo, assim como qualquer tipo de tecnologia o SHA-1 está ficando obsoleta e começou a abrir brechas que possibilitam a quebra da sua segurança.

Mesmo que nenhum ataque ao SHA-1 tenha sido realizado com sucesso até agora, logo será possível quebrar esse tipo de criptografia, devido a rápida evolução da capacidade de cálculo dos computadores.

O tipo de ataque mais comum é o “ataque de colisão”, uma colisão ocorre quando existem 2 arquivos diferentes que geram hashes idênticos, com isso é possível substituir um arquivo pelo outro, possibilitando a geração de um certificado fraudulento.

Quando devo mudar para SHA-2?

Empresas como Google, Mozilla e Microsoft já começaram a eliminação progressiva dos Certificados SSL SHA-1, e os administradores que ainda não substituíram seus certificados SHA-1 por SHA-2 devem começar a fazer a mudança agora.

O primeiro anúncio oficial a respeito da eliminação do SHA-1 foi feito em 2013 pela Microsoft seguida pela Mozilla, indicando que as empresas não iriam mais confiar em certificados com esse tipo de criptografia.

Já em 2014 a Google teve uma postura um pouco mais agressiva, afirmando que o navegador Google Chrome vai exibir alertas para sites que utilizam certificados SHA-1, devido ao seu nível de segurança ser baixo.

No dia 1 de Janeiro de 2016 será finalizada a comercialização dos certificados SHA-1, e a partir do dia 1 de janeiro de 2017 não será mais válida a utilização desse tipo de certificado.

Sendo assim se você ainda utiliza um certificado SHA-1 é altamente recomendável que faça a migração para o SHA-2 o quanto antes. Se por acaso você não tem um Certificado SSL ou queira apenas renovar o que já tem, a SSLNET fornece diversos tipos de certificado, e você pode conferir todos os planos clicando aqui.