Перегляд вихідного коду сторінки SHA-1

{{Картка_алгоритм
|назва= SHA-1
|зображення=
|підпис=
|клас= [[криптографічна хеш-функція]]
|дані=
|час=
|найкращий_час=
|середній_час=
|простір=
|оптимальний=
|стабільний=
}}
'''Secure Hash Algorithm 1'''&nbsp;— [[алгоритм]] [[Криптографічна хеш-функція|криптографічного хешування]]. Описано в RFC 3174. Для вхідного повідомлення довільної довжини (максимум <math> 2 ^ {64} -1 </math> біт, що приблизно дорівнює 2 [[ексабайт]]и) алгоритм генерує 160-бітове [[Геш-функція|хеш-значення]], відоме також [[Хеш-сума|дайджестом]] повідомлення.

Вважається, що SHA-1 не гарантує достатнього захисту проти атак. Вже в 2005 дослідниками були відкриті методи атаки на SHA-1, які поставили під сумнів тривалість використання цього алгоритму<ref>{{cite web
 |url=https://www.schneier.com/blog/archives/2005/02/cryptanalysis_o.html
 |title=Schneier on Security: Cryptanalysis of SHA-1
 |date=18 лютого 2005
 |author=Schneier, Bruce
 |accessdate=21 лютого 2017
 |archive-date=14 квітня 2017
 |archive-url=https://web.archive.org/web/20170414014546/https://www.schneier.com/blog/archives/2005/02/cryptanalysis_o.html
 }}</ref>. Тому вже з 2010 року низка організацій та компаній стали рекомендувати використання [[SHA-2]] або [[SHA-3]] замість нього<ref>{{cite web|url=http://csrc.nist.gov/groups/ST/toolkit/secure_hashing.html|title=NIST.gov - Computer Security Division - Computer Security Resource Center|publisher=|accessdate=21 лютого 2017|archiveurl=https://web.archive.org/web/20110625054822/http://csrc.nist.gov/groups/ST/toolkit/secure_hashing.html|archivedate=25 червня 2011|deadurl=yes}}</ref><ref>{{cite web |url=https://www.schneier.com/blog/archives/2015/10/sha-1_freestart.html |author=Bruce Schneier |date=8 жовтня 2015 |title=SHA-1 Freestart Collision |work=Schneier on Security |accessdate=21 лютого 2017 |archive-date=28 січня 2017 |archive-url=https://web.archive.org/web/20170128161324/https://www.schneier.com/blog/archives/2015/10/sha-1_freestart.html }}</ref>. [[Microsoft]],<ref>{{cite web
 | url=http://social.technet.microsoft.com/wiki/contents/articles/32288.windows-enforcement-of-authenticode-code-signing-and-timestamping.aspx
 | title=Windows Enforcement of Authenticode Code Signing and Timestamping
 | publisher=Microsoft
 | date=2015-09-24
 | accessdate=2016-08-07
 | archive-date=5 жовтня 2016
 | archive-url=https://web.archive.org/web/20161005030712/http://social.technet.microsoft.com/wiki/contents/articles/32288.windows-enforcement-of-authenticode-code-signing-and-timestamping.aspx
 }} {{Webarchive|url=https://web.archive.org/web/20161005030712/http://social.technet.microsoft.com/wiki/contents/articles/32288.windows-enforcement-of-authenticode-code-signing-and-timestamping.aspx |date=2016-10-05 }}</ref> [[Google]],<ref>{{cite web
 | url=https://groups.google.com/a/chromium.org/d/msg/blink-dev/2-R4XziFc7A/i_JipRRJoDQJ
 | title=Intent to Deprecate: SHA-1 certificates | publisher=Google | date=2014-09-03
 | accessdate=2014-09-04}}</ref> [[Apple Inc.|Apple]]<ref>{{cite web
 | url=https://support.apple.com/HT207459
 | title=Safari and WebKit ending support for SHA-1 certificates - Apple Support
 | publisher=Apple Inc. | date=2017-01-24
 | accessdate=2017-02-04}}</ref> та [[Mozilla]]<ref>{{cite web
 | url=https://bugzilla.mozilla.org/show_bug.cgi?id=942515
 | title=Bug 942515 - stop accepting SHA-1-based SSL certificates with notBefore >= 2014-03-01 and notAfter >= 2017-01-01, or any SHA-1-based SSL certificates after 2017-01-01
 | publisher=Mozilla
 | accessdate=2014-09-04
 | archive-date=7 вересня 2014
 | archive-url=https://web.archive.org/web/20140907232215/https://bugzilla.mozilla.org/show_bug.cgi?id=942515
 }}</ref><ref>{{cite web | url=https://wiki.mozilla.org/CA:Problematic_Practices#SHA-1_Certificates | title=CA:Problematic Practices - MozillaWiki | publisher=Mozilla | accessdate=2014-09-09 | archive-date=6 травня 2017 | archive-url=https://web.archive.org/web/20170506120546/https://wiki.mozilla.org/CA:Problematic_Practices#SHA-1_Certificates }}</ref><ref>{{cite web | url=https://blog.mozilla.org/security/2014/09/23/phasing-out-certificates-with-sha-1-based-signature-algorithms/ | title=Phasing Out Certificates with SHA-1 based Signature Algorithms <nowiki>|</nowiki> Mozilla Security Blog | publisher=Mozilla | date=2014-09-23 | accessdate=2014-09-24 | archive-date=25 квітня 2017 | archive-url=https://web.archive.org/web/20170425124953/https://blog.mozilla.org/security/2014/09/23/phasing-out-certificates-with-sha-1-based-signature-algorithms/ }}</ref> оголосили, що їхні веббраузери припинять приймати [[SSL сертифікат]]и з SHA-1 починаючи з 2017 року.

[[23 лютого]] [[2017 рік|2017 року]] була доведена практична досяжність обчислення [[Колізія хеш-функції|колізій]] для функції SHA-1 без потреби звертатись до [[повний перебір|повного перебору]]<ref name="gs.02"/>.

== Історія ==

В [[1993 рік|1993 році]] [[Агентство національної безпеки|NSA]] спільно із [[Національний інститут стандартів і технології|NIST]] розробили алгоритм безпечного хешування (зараз відомий як SHA-0) (опублікований в документі [[Федеральні стандарти обробки інформації|''FIPS '']] PUB 180) для стандарту безпечного хешування. Однак незабаром [[Агентство національної безпеки|NSA]] відкликало дану версію, пославшись на виявлену ними помилку, яка так і не була розкрита. І замінило його виправленою версією, опублікованою в [[1995 рік|1995 році]] у документі [[Федеральні стандарти обробки інформації|''FIPS '']] PUB 180-1. Ця версія і вважається тим, що називають SHA-1. Пізніше, на конференції [[CRYPTO]] в [[1998 рік|1998 році]] два французьких дослідника представили атаку на алгоритм SHA-0, яка не працювала на алгоритмі SHA-1. Можливо, це і була помилка, відкрита NSA.

== Опис алгоритму ==

[[Файл:SHA-1.svg|thumbnail|right|300px|Одна ітерація алгоритму SHA-1]]

SHA-1 реалізує [[Хешування|хеш-функцію]], побудовану на ідеї функції стиснення. Входом функції стиснення є блок повідомлення довжиною 512 біт і вихід попереднього блоку повідомлення. Виходом є значення всіх хеш-блоків до цього моменту. Іншими словами хеш блоку <math> M_i </math> дорівнює <math> h_i = f (M_i, h_ {i-1}) </math>. Хеш-значенням всього повідомлення є виходом останнього блоку.

=== Ініціалізація ===

Вхідне повідомлення розбивається на блоки по 512 біт у кожному. Останній блок доповнюється до довжини кратної 512 біт. Спочатку додається 1, а потім нулі, щоб довжина блоку стала рівною (512-64=448) біт. В останні 64 біта записується довжина вихідного повідомлення у бітах (в [[Порядок байтів|big-endian]] форматі). Якщо останній блок має довжину понад 448, але менше 512 біт, то додаток виконується в такий спосіб: спочатку додається 1, потім нулі аж до кінця 512-бітного блоку; після цього створюється ще один 512-бітний блок, який заповнюється аж до 448 біта нулями, після чого в 64 біта, що залишилися, записується довжина вихідного повідомлення в бітах (в [[Порядок байтів|big-endian]] форматі). Доповнення останнього блоку здійснюється завжди, навіть якщо повідомлення вже має потрібну довжину.

Ініціалізуються п'ять 32-бітових змінних:

 A = a = 0x67452301
 B = b = 0xEFCDAB89
 C = c = 0x98BADCFE
 D = d = 0x10325476
 E = e = 0xC3D2E1F0

Визначаються чотири нелінійні операції і чотири константи.

{| border=1 class="wikitable"
|-
| <math>F_t(m, l, k) = (m \wedge l) \vee (\neg{m} \wedge k)</math>
| <math>K_t</math> = 0x5A827999
| 0≤t≤19
|-
| <math>F_t(m, l, k) = m \oplus l \oplus k </math>
| <math>K_t</math> = 0x6ED9EBA1
| 20≤t≤39
|-
| <math>F_t(m, l, k) = (m \wedge l) \vee (m \wedge k) \vee (l \wedge k)</math>
| <math>K_t</math> = 0x8F1BBCDC
| 40≤t≤59
|-
| <math>F_t(m, l, k) = m \oplus l \oplus k </math>
| <math>K_t</math> = 0xCA62C1D6
| 60≤t≤79
|}

=== Головний цикл ===

Головний цикл ітеративно обробляє кожен 512-бітний блок. [[Ітерація]] складається з чотирьох етапів по двадцять операцій у кожному. Блок повідомлення перетворюється з 16 32-бітових слів <math>M_i</math> у 80 32-бітових слів <math>W_j</math> за наступним правилом:

 <math>W_t = M_t </math>                                      при 0≤t≤15
 <math>W_t</math> = (<math>W_t</math><sub>-3</sub> <math>\oplus</math> <math>W_t</math><sub>-8</sub> <math>\oplus</math> <math>W_t</math><sub>-14</sub> <math>\oplus</math> <math>W_t</math><sub>-16</sub>) << 1     при 16≤t≤79
тут << — це циклічний зсув вліво

 
 
  '''для''' <math>t</math> від 0 '''до''' 79
 	temp = (a << 5) + <math>F_t</math>(b,c,d) + e + <math>W_t + K_t </math>
 	e = d
 	d = c
 	c = b << 30
 	b = a
 	a = temp

Після цього a, b, c, d, e додаються до A, B, C, D, E відповідно. Починається наступна ітерація.

Підсумковим значенням буде об'єднання п'яти 32-бітних слів в одне 160-бітове хеш-значення.

=== Псевдокод SHA-1 ===
[[Псевдокод]] алгоритму SHA-1 наступний:
 
  <span style="color: green;">''Зауваження: Всі використовувані змінні 32-х бітні.''</span>
 
 <span style="color: green;">''Ініціалізація змінних:''</span>
 h0 = 0x67452301
 h1 = 0xEFCDAB89
 h2 = 0x98BADCFE
 h3 = 0x10325476
 h4 = 0xC3D2E1F0
 
 <span style="color: green;">''Попередня обробка:''</span>
 Приєднуємо біт '1' до повідомлення
 Приєднуємо k бітів '0', де k найменше число ≥ 0 таке, щоб довжина отриманого повідомлення (в бітах) була [[Рівність по модулю натурального числа|рівна по модулю]] 512 із 448 (length mod 512 == 448)
 Додаємо довжину вихідного повідомлення (до попередньої обробки) як ціле 64-бітове [[big-endian]] число в ''бітах''.
 
 <span style="color: green;">''В процесі повідомлення розбивається послідовно по 512 біт:''</span>
 '''for''' перебираємо всі такі частини
     розбиваємо цю частину ще на 16 частин - слів по 32-біта w&#91;i&#93;, 0 <= i <= 15
 
     <span style="color: green;">''16 слів по 32-біта доповнюються до 80 32-бітових слів:''</span>
     '''for''' i '''from''' 16 '''to''' 79
         w&#91;i&#93; = (w&#91;i-3&#93; '''xor''' w&#91;i-8&#93; '''xor''' w&#91;i-14&#93; '''xor''' w&#91;i-16&#93;) '''[[Бітовий зсув#Циклічне зрушення|циклічний зсув вліво]]''' 1
 
     <span style="color: green;">''Ініціалізація хеш-значень цієї частини:''</span>
     a = h0
     b = h1
     c = h2
     d = h3
     e = h4
 
     <span style="color: green;">''Основний цикл:''</span>
     '''for''' i '''from''' 0 '''to''' 79
         '''if''' 0 ≤ i ≤ 19 '''then'''
             f = (b '''and''' c) '''or''' (('''not''' b) '''and''' d)
             k = 0x5A827999
         '''else if''' 20 ≤ i ≤ 39 '''then'''
             f = b '''xor''' c '''xor''' d
             k = 0x6ED9EBA1
         '''else if''' 40 ≤ i ≤ 59 '''then'''
             f = (b '''and''' c) '''or''' (b '''and''' d) '''or''' (c '''and''' d)
             k = 0x8F1BBCDC
         '''else if''' 60 ≤ i ≤ 79 '''then'''
             f = b '''xor''' c '''xor''' d
             k = 0xCA62C1D6
 
         temp = (a '''[[Бітовий зсув#Циклічне зрушення|циклічний зсув вліво]]''' 5) + f + e + k + w&#91;i&#93;
         e = d
         d = c
         c = b '''[[Бітовий зсув#Циклічне зрушення|циклічний зсув вліво]]''' 30
         b = a
         a = temp
 
     <span style="color: green;">''Додаємо хеш-значення цієї частини до результату:''</span>
     h0 = h0 + a
     h1 = h1 + b 
     h2 = h2 + c
     h3 = h3 + d
     h4 = h4 + e
 
 <span style="color:green;">''Підсумкове хеш-значення:''</span>
 digest = hash = h0 '''append''' h1 '''append''' h2 '''append''' h3 '''append''' h4

Замість оригінального формулювання FIPS PUB 180-1 наведені такі еквівалентні вирази, що можуть бути використані на комп'ютері <code>f</code> в головному циклі:

 (0  ≤ i ≤ 19): f = d '''xor''' (b '''and''' (c '''xor''' d))                <span style="color: green;">''(альтернатива 1)''</span>
 (0  ≤ i ≤ 19): f = (b '''and''' c) '''xor''' (('''not''' b) '''and''' d)          <span style="color: green;">''(альтернатива 2)''</span>
 (0  ≤ i ≤ 19): f = (b '''and''' c) + (('''not''' b) '''and''' d)            <span style="color: green;">''(альтернатива 3)''</span>
 &nbsp;
 (40 ≤ i ≤ 59): f = (b '''and''' c) '''or''' (d '''and''' (b '''or''' c))          <span style="color: green;">''(альтернатива 1)''</span>
 (40 ≤ i ≤ 59): f = (b '''and''' c) '''or''' (d '''and''' (b '''xor''' c))         <span style="color: green;">''(альтернатива 2)''</span>
 (40 ≤ i ≤ 59): f = (b '''and''' c) + (d '''and''' (b '''xor''' c))          <span style="color: green;">''(альтернатива 3)''</span>
 (40 ≤ i ≤ 59): f = (b '''and''' c) '''xor''' (b '''and''' d) '''xor''' (c '''and''' d)  <span style="color: green;">''(альтернатива 4)''</span>

== Приклади ==

Нижче наведені приклади хеш SHA-1. Для всіх повідомлень використано кодування [[UTF-8]].

Хеш українською мовою:

 SHA-1("Привіт") 
   = be3ba4d3 aa62fe70 d8aa4acd 4f0d33e2 896d3071

Хеш англійською мовою:

 SHA-1("[[Hello World]]") 
   = 0a4d55a8 d778e502 2fab7019 77c5d840 bbc486d0

 SHA-1("sha")
   = d8f45903 20e1343a 915b6394 170650a8 f35d6926

Невелика зміна вхідного тексту (одна буква у верхньому регістрі) призводить до сильної зміни самого хешу. Це відбувається внаслідок [[Лавиновий ефект|лавинного ефекту]].

 SHA-1("Sha") 
   = ba79baeb 9f10896a 46ae7471 5271b7f5 86e74640

Навіть для порожнього рядка обчислюється нетривіальне хеш-значення.

 SHA-1("") 
   = da39a3ee 5e6b4b0d 3255bfef 95601890 afd80709

== Криптоаналіз ==

[[Криптоаналіз]] хеш-функцій спрямований на дослідження вразливостей до різного виду атак. Основні із них:
* знаходження [[Колізія хеш-функції|колізій]]&nbsp;— ситуація, коли двом різним вхідним повідомленням відповідає одне і те ж хеш-значення.
* знаходження прообразу&nbsp;— вихідного повідомлення&nbsp;— по його хешу.

При вирішенні [[Повний перебір|методом «грубої сили»]]:
* друга задача вимагає 2<sup>160</sup> операцій.
* перша ж вимагає в середньому 2<sup>160/2</sup>=2<sup>80</sup> операцій, якщо використовувати [[Атака «днів народження»|атаку Днів народження]].

Від стійкості хеш-функції до знаходження колізій залежить безпека [[Електронний цифровий підпис|електронного цифрового підпису]] із використанням даного хеш-алгоритму. Від стійкості до знаходження прообразу залежить безпека зберігання хешів паролів для [[Автентифікація|аутентифікації]].

У січні [[2005 рік|2005 року]] [[Ріджмен, Вінсент|Vincent Rijmen]] і Elisabeth Oswald опублікували повідомлення про атаку на усічену версію SHA-1 (53 раунди замість 80-и), яка дозволяє знаходити колізії менше, ніж за 2<sup>80</sup> операцій.

У лютому [[2005 рік|2005 року]] [[Сяоюн Ван]], [[Іцюнь Ліза Інь]] і [[Хунбо Юй]] (Xiaoyun Wang, Yiqun Lisa Yin, Hongbo Yu) представили атаку на повноцінний SHA-1, яка вимагає менше 2<sup>69</sup> операцій.

Хоча теоретично SHA-1 вважається зламаним (кількість обчислювальних операцій зменшено в 2<sup>80-63</sup>=131 000 разів), на практиці подібний злом неможливий, оскільки займе п'ять мільярдів років.

[[Калінскі, Бурт|Бурт Калінскі]], глава дослідницького відділу в «лабораторії RSA» передбачає, що перша атака по знаходженню прообразу буде успішно здійснена в найближчі 5-10 років.

З огляду на те, що теоретичні атаки на SHA-1 виявилися успішними, [[Національний інститут стандартів і технології|NIST]] планує повністю відмовитися від використання SHA-1 в цифрових підписах.<ref>{{cite web|url=http://csrc.nist.gov/groups/ST/hash/statement.html|title=NIST Comments on Cryptanalytic Attacks on SHA-1|lang=en|accessdate=29 серпня 2016|archive-date=13 жовтня 2012|archive-url=https://www.webcitation.org/6BNBystHR?url=http://csrc.nist.gov/groups/ST/hash/statement.html}}</ref>

2 листопада [[2007 рік]] [[Національний інститут стандартів і технології|NIST]] анонсував конкурс з розробки нового алгоритму [[SHA-3]], який тривав до [[2012 рік|2012 року]].<ref>{{citeweb|url=http://csrc.nist.gov/groups/SMA/ispab/documents/minutes/2008-06/HashCompetition-June2008_BBurr-JKelsey.pdf|title=NIST Hash Competition|lang=en|accessdate=29 серпня 2016|archive-date=13 жовтня 2012|archive-url=https://www.webcitation.org/6BNBzvQEO?url=http://csrc.nist.gov/groups/SMA/ispab/documents/minutes/2008-06/HashCompetition-June2008_BBurr-JKelsey.pdf}}</ref>

=== Колізії ===

[[23 лютого]] [[2017 рік|2017 року]] команда дослідників з наукового інституту CWI Amsterdam та компанії Google оголосили про розробку ними практично досяжного методу побудови колізій для функції SHA-1. Попри те, що для створення [[PDF]]-файлу з ідентичним SHA-1 дайджестом як і у оригінального їм знадобилось здійснити майже 9 [[квінтильйон]]ів обчислень SHA-1 (точне число {{formatnum:9223372036854775808}}), для чого знадобилось понад 6610 процесор-років, необхідна кількість обчислень виявилась майже в 100 тисяч раз меншою за [[повний перебір]]. Час необхідний на обчислення було додатково скорочено завдяки використанню [[Графічний процесор|графічних процесорів]]. Таким чином дослідники довели, що обчислення колізій функції SHA-1 стало практично досяжним для зловмисника зі значною апаратно-матеріальною підтримкою<ref name="gs.02">{{cite web
 | url = https://security.googleblog.com/2017/02/announcing-first-sha1-collision.html
 | title = Announcing the first SHA1 collision
 | author = Marc Stevens (CWI Amsterdam), Elie Bursztein (Google), Pierre Karpman (CWI Amsterdam), Ange Albertini (Google), Yarik Markov (Google), Alex Petit Bianco (Google), Clement Baisse (Google)
 | publisher = Google Security Blog
 | date = 23 лютого 2017
 | accessdate = 23 лютого 2017
 | archive-date = 24 квітня 2017
 | archive-url = https://web.archive.org/web/20170424012912/https://security.googleblog.com/2017/02/announcing-first-sha1-collision.html
 }}</ref>.

Дослідники вирішили скористатись найкращою відомою атакою на SHA-1, так звана ''атака з ідентичним префіксом'' ({{lang-en|identical-prefix collision attack}}), яка потребує (теоретично) 2<sup>61</sup> обчислень SHA-1. На практиці, очікувалось, що знадобиться 2<sup>63.1</sup> обчислень SHA-1<ref name="shattered"/>.

Атака полягає в пошуку двох майже колізійних блоків при заданому префіксі {{mvar|P}}, які утворюють колізію для будь-якого суфіксу {{mvar|S}}<ref name="shattered"/>:
: <math>\mathrm{SHA-1}(P || M_1^{(1)} || M_2^{(1)} || S) = \mathrm{SHA-1}(P || M_1^{(2)} || M_2^{(2)} || S). </math>

Пошук колізії відбувався у два кроки. На першому кроці обчислення відбувались на звичайних мікропроцесорах із використанням сильно зміненої програми HashClash&nbsp;— програма була істотно змінена для можливості ефективної роботи на багатьох ядрах та багатьох процесорах. На цьому кроці була знайдена пара <math>(M_1^{(1)}, M_1^{(2)})</math>. Другий крок був реалізований на графічних процесорах. На цьому кроці була знайдена пара <math>(M_2^{(1)}, M_2^{(2)})</math><ref name="shattered"/>.

=== Порівняння з MD5 та SHA-0 ===

Пошук колізії алгоритмом з «ідентичним префіксом» для [[MD5]], [[SHA-0]] та SHA-1 мають багато спільного, проте істотно відмінну складність<ref name="shattered"/>.

Найкращий відомий алгоритм пошуку колізії методом «ідентичного префіксу» вимагає 2<sup>16</sup> обчислень MD5<ref name="shattered"/>.

Попри істотну схожість із SHA-1, SHA-0 набагато вразливіший до пошуку колізій. Найкращий відомий алгоритм вимагає 2<sup>33.6</sup> обчислень SHA-0<ref name="shattered"/>.

Таким чином, пошук колізій для SHA-0 та MD5 може відбуватись навіть із допомогою сучасного [[смартфон]]у<ref name="shattered">{{cite web
 | url = https://shattered.it/static/shattered.pdf
 | title = The first collision for full SHA-1
 | author = Marc Stevens, Elie Bursztein, Pierre Karpman, Ange Albertini, Yarik Markov
 | publisher = CWI Amsterdam/Google Research
 | accessdate = 24 лютого 2017
 | archive-date = 11 жовтня 2018
 | archive-url = https://web.archive.org/web/20181011152805/https://shattered.it/static/shattered.pdf
 }}</ref>.

== Порівняння SHA1 з іншими алгоритмами ==

=== Порівняння з MD5 ===

[[MD5]] і SHA-1 є, по суті, поліпшеними версіями [[MD4]].

'''Схожість:'''
# Чотири етапи.
# Кожна дія додається до раніше отриманого результату.
# Розмір блоку обробки становить 512 біт.
# Обидва алгоритми виконують складання по модулю 2<sup>32</sup>, вони розраховані на 32-х бітну архітектуру.

'''Відмінності:'''
# У SHA-1 на четвертому етапі використовується та ж функція f, що і на другому етапі.
# В [[MD5]] у кожній дії використовується унікальна адитивна константа. У SHA-1 константи використовуються повторно для кожної із чотирьох груп.
# У SHA-1 додана п'ята змінна.
# SHA-1 використовує циклічний код виправлення помилок.
# В [[MD5]] чотири зсуви, що використовуються на кожному етапі, відрізняються від значень, які використовуються на попередніх етапах. В [[SHA]] на кожному етапі використовується постійне значення зсуву.
# В [[MD5]] чотири різних елементарних логічних функції, в SHA-1 - три.
# В [[MD5]] довжина дайджесту становить 128 біт, в SHA-1 - 160 біт.
# SHA-1 містить більше раундів (80 замість 64) і виконується на 160-бітному буфері у порівнянні із 128-бітовим буфером [[MD5]]. Таким чином, SHA-1 повинен виконуватися приблизно на 25% повільніше, ніж [[MD5]] на тій же апаратурі.

[[Шнайер, Брюс|Брюс Шнайер]] наводить наступний висновок: «SHA-1 - це [[MD4]] із додаванням розширюючого перетворення, додаткового етапу і поліпшеним лавинним ефектом. [[MD5]] - це [[MD4]] із поліпшеним двійковим хешуванням, додатковим етапом і поліпшеним лавинним ефектом.»

== Використання ==
Хеш-функції використовуються в [[Система управління версіями|системах контролю версій]], [[Електронний цифровий підпис|системах електронного цифрового підпису]], а також для побудови кодів [[Аутентифікація|аутентифікації]].

SHA-1 є найбільш поширеним із усього сімейства SHA і застосовується у різних широко поширених криптографічних додатках і алгоритмах.

SHA-1 використовується в наступних стандартах:
* [[S/MIME]] — дайджести повідомлень.
* [[SSL]] — дайджести повідомлень.
* [[IPSec]] — для алгоритму перевірки цілісності в з'єднанні «точка-точка».
* [[SSH]] — для перевірки цілісності переданих даних.
* [[PGP]] — для створення електронного цифрового підпису.
* [[Git]] — для ідентифікації кожного об'єкта по SHA-1-хешу від збереженої в об'єкті інформації.
* [[Mercurial]] — для ідентифікації ревізій.
* [[BitTorrent (протокол)|BitTorrent]] — для перевірки цілісності даних при завантаженні.

== Примітки ==
{{примітки|2}}

== Див. також ==
* [[Хеш-сума]]
* [[SHA-2]]
* [[MD5]]

== Посилання ==
* RFC 3174{{ref-en}}
* [http://www.w3.org/PICS/DSig/SHA1_1_0.html Огляд SHA-1 від Консорціуму Всесвітньої павутини] {{Webarchive|url=https://web.archive.org/web/20050304074240/http://www.w3.org/PICS/DSig/SHA1_1_0.html |date=4 березня 2005 }}{{ref-en}}
* {{cite web
 | url = https://shattered.it/static/shattered.pdf
 | title = The first collision for full SHA-1
 | author = Marc Stevens, Elie Bursztein, Pierre Karpman, Ange Albertini, Yarik Markov
 | publisher = CWI Amsterdam/Google Research
 | accessdate = 24 лютого 2017
 | archive-date = 11 жовтня 2018
 | archive-url = https://web.archive.org/web/20181011152805/https://shattered.it/static/shattered.pdf
 }}
* [http://www.schneier.com/blog/archives/2005/02/sha1_broken.html Взлом SHA-1] {{Webarchive|url=https://web.archive.org/web/20170505152637/https://www.schneier.com/blog/archives/2005/02/sha1_broken.html |date=5 травня 2017 }}{{ref-en}}
* [https://www.webcitation.org/61A39qlpS?url=http://www.infosec.sdu.edu.cn/uploadfile/papers/Finding%20Collisions%20in%20the%20Full%20SHA-1.pdf Доповідь про взлом SHA-1]{{ref-en}}
* [http://www.schneier.com/blog/archives/2005/02/cryptanalysis_o.html Брюс Шнайер про взлом SHA] {{Webarchive|url=https://www.webcitation.org/6CaZxHamO?url=http://www.schneier.com/blog/archives/2005/02/cryptanalysis_o.html |date=1 грудня 2012 }}{{ref-en}}
* [http://www.heise-online.co.uk/security/Hash-cracked--/features/75686/0 Наслідки успішних атак на SHA-1] {{Webarchive|url=https://web.archive.org/web/20081226212806/http://www.heise-online.co.uk/security/Hash-cracked--/features/75686/0 |date=26 грудня 2008 }}{{ref-en}}
* [https://dev-tips.org/Generators/Hash4Text/SHA1 Generate SHA-1 Online (онлайн сервіс для генерування SHA-1)]{{Недоступне посилання|date=серпня 2019 |bot=InternetArchiveBot }}{{ref-en}}

{{Геш-функції та коди аутентифікації повідомлення}}
{{ВП-портали|Програмування|}}
{{Refimprove|date=лютий 2017}}


{{Crypto-stub}}
{{Algorithm-stub}}

[[Категорія:Геш-функції]]
[[Категорія:Криптографічні геш-функції]]