Solución:
Regla de oro: SHA1 es potencialmente inseguro cuando se utiliza en datos relativamente estáticos, por ejemplo, firma de código, firmas digitales, hash de archivos.
Esto se refleja en las preguntas frecuentes de PCI:
- ¿Cuál es la orientación del Consejo sobre el uso de SHA-1?
Cuando una función hash se aplica de forma iterativa (por ejemplo, HMAC, PBKDF2) se ve sustancialmente menos afectada por las colisiones que sus funciones hash subyacentes per se. Árbitro. HMAC (Wikipedia). HMAC-SHA1 (y HMAC-MD5) todavía están a salvo desde una perspectiva de seguridad (en 2019).
De manera similar, la naturaleza dinámica de Diffie-Hellman significa que sus debilidades residen en el número de bits que gobiernan sus números primos en lugar de la función hash que emplea. Desarrollando lo que ConsideredHarmful señaló: diffie-hellman-group14-sha1 es seguro porque utiliza un número primo de 2048 bits, mientras que diffie-hellman-group1-sha1 no lo es porque solo usa 1024 bits.
Ninguno de estos hallazgos es crítico, son simplemente mejores prácticas. No hay un ataque general práctico en SHA1 mejor que la fuerza bruta (al momento de escribir este artículo). Natanael señaló correctamente en el hilo de arriba que las colisiones SHA1 no se rompen hmac-sha1.
diffie-hellman-group14-sha1 sigue siendo aceptable para PCI ya que es un grupo de 2048 bits: https://weakdh.org/sysadmin.html.
Esto es equivalente a una clave simétrica de ~ 112 bits (la seguridad efectiva de 3DES) que el NIST considera aceptable hasta 2023 (consulte la Tabla 1, página 128 de NIST SP800-131A rev 2).
Para el intercambio de claves AES, si desea mantener> = 128 bits de seguridad, probablemente debería utilizar un grupo DH> = 3200 bits (consulte RFC-3526). El grupo más pequeño que cumple con este requisito es diffie-hellman-group16-sha512 (Ver RFC-5656).
Si puede eliminar de forma segura el soporte de inmediato para el intercambio de claves de curva no elíptica y los HMAC basados en SHA1, hágalo. De lo contrario, comience a planificar ahora, ya que los proyectos de migración criptográfica son un gran problema y probablemente tendrá que hacerlo eventualmente.
Tenga en cuenta que algunos requisitos de FIPS exigen el uso de hmac-sha1.