SHA-1

Qu’est-ce que SHA-1 ?

SHA-1 est l’une des fonctions de hachage cryptographiques utilisées dans des applications telles que l’authentification et les signatures numériques. Elle a été conçue par la National Security Agency (NSA) des États-Unis et normalisée en 1995 par le National Institute of Standards and Technology (NIST) sous la référence FIPS PUB 180-4.

Une fonction de hachage est une fonction qui génère une valeur numérique (valeur de hachage) représentant des données données. Les fonctions de hachage dotées de propriétés cryptographiques adaptées aux applications de sécurité sont appelées fonctions de hachage cryptographiques. La valeur générée par ces fonctions est appelée empreinte du message. Lors d’un échange de messages, l’expéditeur et le destinataire créent chacun une empreinte à partir des données d’origine, puis les comparent afin de détecter toute éventuelle altération pendant la transmission.

SHA signifie « Secure Hash Algorithm » (algorithme de hachage sécurisé), et il en existe quatre versions : SHA-0, SHA-1, SHA-2 et SHA-3. Publié en 1993 pour succéder à SHA-0 et corriger les problèmes qui y avaient été identifiés, SHA-1 a été largement adopté par de nombreuses applications et de nombreux protocoles utilisant le chiffrement, notamment IPsec, SSL/TLS, SSH et S/MIME. Les versions ultérieures, SHA-2 et SHA-3, ont été publiées respectivement en 2001 et 2015.

Bien que SHA-1 ait été largement utilisé, une méthode d’attaque découverte en 2005 a révélé que son niveau de sécurité était insuffisant. Le gouvernement américain a recommandé de cesser d’utiliser SHA-1 dans les systèmes concernés avant la fin de l’année 2013. Dans le domaine des navigateurs web, Microsoft a annoncé en juin 2016 que des avertissements seraient affichés pour les certificats de serveur SSL utilisant SHA-1, tandis que Google a indiqué que des erreurs seraient signalées pour les certificats de serveur SHA-1 émis après le 1er janvier 2016. Les sites web qui utilisent encore des certificats de serveur SSL SHA-1 sont vivement encouragés à migrer immédiatement vers SHA-2.