Función hash criptográfica

El hashing es una operación matemática unidireccional que se calcula rápidamente, pero es difícil de revertir. ^{[ 1 ]} Por lo tanto, el almacenamiento de contraseñas y las firmas digitales se benefician de los hashes. ^{[ 2 ]} Incluso un pequeño cambio en la entrada produce un hash muy diferente. Por lo tanto, es útil comprobar si dos copias de datos o software coinciden. ^{[ 3 ]} Normalmente, la operación trabaja sobre un bloque de datos de entrada; la salida del hash se aplica con el siguiente bloque, creando un nuevo hash que refleja todo hasta ese punto; y así sucesivamente hasta que el hash final refleja todo hasta el último bloque. ^{[ 2 ]}

Más técnicamente: ^{[ 4 ]}

• la probabilidad de un evento en particular${\displaystyle n}$El resultado de salida de bits ( valor hash ) para una cadena de entrada aleatoria ("mensaje") es${\displaystyle 2^{-n}}$(como ocurre con cualquier buen hash), por lo que el valor hash puede utilizarse como representante del mensaje;
• Encontrar una cadena de entrada que coincida con un valor hash dado (una preimagen ) es inviable, suponiendo que todas las cadenas de entrada sean igualmente probables. La resistencia a dicha búsqueda se cuantifica como fuerza de seguridad : un hash criptográfico con${\displaystyle n}$Se espera que los bits del valor hash tengan una fuerza de resistencia a la preimagen de${\displaystyle n}$bits, a menos que el espacio de posibles valores de entrada sea significativamente menor que${\displaystyle 2^{n}}$(un ejemplo práctico se puede encontrar en el apartado §  Ataques a contraseñas cifradas );
• Una segunda resistencia a la preimagen, con las mismas expectativas, se refiere a un problema similar de encontrar un segundo mensaje que coincida con el valor hash dado cuando ya se conoce un mensaje;
• También es inviable encontrar cualquier par de mensajes diferentes que produzcan el mismo valor hash (una colisión ): se espera que un hash criptográfico tenga una resistencia a colisiones de${\displaystyle n/2}$bits (menor debido a la paradoja del cumpleaños ).

Las funciones hash criptográficas tienen numerosas aplicaciones en seguridad de la información , especialmente en firmas digitales , códigos de autenticación de mensajes (MAC) y otras formas de autenticación . También pueden utilizarse como funciones hash ordinarias , para indexar datos en tablas hash , para la identificación mediante huellas digitales , para detectar datos duplicados o identificar archivos de forma única, y como sumas de verificación para detectar la corrupción accidental ^{de datos} . De hecho, en contextos de seguridad de la información, los valores hash criptográficos a veces se denominan huellas digitales , ^sumas de verificación , resúmenes de mensajes o simplemente ^valores hash , aunque todos estos términos se refieren a funciones más generales con propiedades y ^{propósitos bastante} diferentes.

Las funciones hash no criptográficas se utilizan en tablas hash y para detectar errores accidentales; su construcción a menudo no ofrece resistencia a un ataque deliberado. Por ejemplo, es posible un ataque de denegación de servicio contra tablas hash si las colisiones son fáciles de encontrar, como en el caso de las funciones de verificación de redundancia cíclica lineal (CRC). ^{[ 7 ]}

La mayoría de las funciones hash criptográficas están diseñadas para tomar como entrada una cadena de cualquier longitud y producir un valor hash de longitud fija.

Una función hash criptográfica debe ser capaz de resistir todos los tipos conocidos de ataques criptoanalíticos . En criptografía teórica, el nivel de seguridad de una función hash criptográfica se ha definido utilizando las siguientes propiedades:

Resistencia a la preimagen

Dado un valor hash h , debería ser difícil encontrar cualquier mensaje m tal que h = hash( m ) . Este concepto está relacionado con el de una función unidireccional . Las funciones que carecen de esta propiedad son vulnerables a ataques de preimagen .

Resistencia de la segunda preimagen

Dado un valor de entrada m ₁ , debería ser difícil encontrar un valor de entrada diferente m ₂ tal que hash( m ₁ ) = hash( m ₂ ) . Esta propiedad a veces se denomina resistencia débil a colisiones . Las funciones que carecen de esta propiedad son vulnerables a ataques de segunda preimagen .

Resistencia a las colisiones

Debería ser difícil encontrar dos mensajes diferentes m ₁ y m ₂ tales que hash( m ₁ ) = hash( m ₂ ) . Dicho par se denomina colisión de hash criptográfico . Esta propiedad a veces se conoce como resistencia fuerte a colisiones . Requiere un valor hash al menos el doble de largo que el requerido para la resistencia a preimágenes; de lo contrario, las colisiones pueden detectarse mediante un ataque de cumpleaños . ^{[ 8 ]}

La resistencia a colisiones implica resistencia a la segunda preimagen, pero no implica resistencia a la preimagen. ^{[ 9 ]} En criptografía teórica, siempre se prefiere la suposición más débil, pero en la práctica, una función hash que solo es resistente a la segunda preimagen se considera insegura y, por lo tanto, no se recomienda para aplicaciones reales.

En términos informales, estas propiedades implican que un atacante malicioso no puede reemplazar ni modificar los datos de entrada sin alterar su resumen criptográfico. Por lo tanto, si dos cadenas tienen el mismo resumen, se puede tener la certeza de que son idénticas. La resistencia a la preimagen impide que un atacante cree un documento con el mismo hash que un documento que no puede controlar. La resistencia a la colisión impide que un atacante cree dos documentos distintos con el mismo hash.

Una función que cumpla con estos criterios aún puede tener propiedades indeseables. Actualmente, las funciones hash criptográficas populares son vulnerables a ataques de extensión de longitud : dados hash( m ) y len( m ) pero no m , al elegir un m ′ adecuado, un atacante puede calcular hash( m ∥ m ′ ) , donde ∥ denota concatenación . ^{[ 10 ]} Esta propiedad puede usarse para romper esquemas de autenticación ingenuos basados ​​en funciones hash. La construcción HMAC soluciona estos problemas.

En la práctica, la resistencia a colisiones resulta insuficiente para muchos usos prácticos. Además de la resistencia a colisiones, debería ser imposible para un adversario encontrar dos mensajes con resúmenes sustancialmente similares, o inferir información útil sobre los datos, dado únicamente su resumen. En particular, una función hash debería comportarse lo más parecido posible a una función aleatoria (a menudo denominada oráculo aleatorio en las pruebas de seguridad), sin dejar de ser determinista y computacionalmente eficiente. Esto descarta funciones como la función SWIFFT , cuya resistencia a colisiones puede demostrarse rigurosamente asumiendo que ciertos problemas en retículos ideales son computacionalmente difíciles, pero que, al ser una función lineal, no satisface estas propiedades adicionales. ^{[ 11 ]}

Los algoritmos de suma de verificación, como CRC-32 y otras comprobaciones de redundancia cíclica , están diseñados para cumplir requisitos mucho menos estrictos y, por lo general, no son adecuados como funciones hash criptográficas. Por ejemplo, en el estándar de cifrado WEP se utilizó un CRC para garantizar la integridad de los mensajes , pero se descubrió rápidamente un ataque que explotaba la linealidad de la suma de verificación.

Un ejemplo del uso potencial de una función hash criptográfica es el siguiente: Alice le plantea a Bob un problema matemático complejo y afirma haberlo resuelto. Bob quiere intentarlo él mismo, pero desea asegurarse de que Alice no esté mintiendo. Por lo tanto, Alice anota su solución, calcula su hash y le comunica a Bob el valor hash (manteniendo la solución en secreto). Luego, cuando Bob encuentra la solución por sí mismo unos días después, Alice puede demostrar que ella tenía la solución antes revelándola y pidiéndole a Bob que calcule su hash y luego verifique que coincide con el valor hash que se le dio previamente. (Este es un ejemplo de un esquema de compromiso simple ; en la práctica, Alice y Bob suelen ser programas informáticos, y el secreto sería algo más difícil de falsificar que la supuesta solución de un problema).

Existen varios métodos para utilizar un cifrado por bloques para construir una función hash criptográfica, específicamente una función de compresión unidireccional .

Los métodos se asemejan a los modos de operación de cifrado por bloques que se utilizan habitualmente para el cifrado. Muchas funciones hash conocidas, como MD4 , MD5 , SHA-1 y SHA-2 , se construyen a partir de componentes similares a los cifrados por bloques diseñados para tal fin, con retroalimentación para garantizar que la función resultante no sea invertible. Entre los finalistas de SHA-3 se incluyeron funciones con componentes similares a los cifrados por bloques (por ejemplo, Skein , BLAKE ), aunque la función finalmente seleccionada, Keccak , se construyó sobre una esponja criptográfica .

Se puede utilizar un cifrado de bloques estándar como AES en lugar de estos cifrados de bloques personalizados; esto puede ser útil cuando un sistema embebido necesita implementar tanto cifrado como hash con un tamaño de código o área de hardware mínimos. Sin embargo, este enfoque puede tener costos en eficiencia y seguridad. Los cifrados en las funciones hash están diseñados para el hash: utilizan claves y bloques grandes, pueden cambiar las claves de manera eficiente en cada bloque y han sido diseñados y probados para resistir ataques de clave relacionada . Los cifrados de propósito general tienden a tener objetivos de diseño diferentes. En particular, AES tiene tamaños de clave y bloque que hacen que no sea trivial usarlo para generar valores hash largos; el cifrado AES se vuelve menos eficiente cuando la clave cambia en cada bloque; y los ataques de clave relacionada lo hacen potencialmente menos seguro para su uso en una función hash que para el cifrado.

Las funciones hash se pueden utilizar para construir otras primitivas criptográficas . Para que estas otras primitivas sean criptográficamente seguras, se debe tener cuidado al construirlas.

Los códigos de autenticación de mensajes (MAC, por sus siglas en inglés) (también llamados funciones hash con clave) suelen construirse a partir de funciones hash. HMAC es un ejemplo de MAC.

Así como los cifrados de bloques se pueden usar para construir funciones hash, las funciones hash se pueden usar para construir cifrados de bloques. Las construcciones de Luby-Rackoff que utilizan funciones hash pueden ser demostrablemente seguras si la función hash subyacente es segura. Además, muchas funciones hash (incluidas SHA-1 y SHA-2 ) se construyen utilizando un cifrado de bloques de propósito especial en una construcción de Davies-Meyer u otra. Ese cifrado también se puede usar en un modo de operación convencional, sin las mismas garantías de seguridad; por ejemplo, SHACAL , BEAR y LION .

Los generadores de números pseudoaleatorios (PRNG) se pueden construir utilizando funciones hash. Esto se logra combinando una semilla aleatoria (secreta) con un contador y aplicando una función hash.

Algunas funciones hash, como Skein , Keccak y RadioGatún , generan una secuencia de longitud arbitraria y pueden utilizarse como cifrado de flujo . Los cifrados de flujo también pueden construirse a partir de funciones hash digest de longitud fija. A menudo, esto se logra creando primero un generador de números pseudoaleatorios criptográficamente seguro y utilizando su secuencia de bytes aleatorios como secuencia de claves . SEAL es un cifrado de flujo que utiliza SHA-1 para generar tablas internas, las cuales se emplean posteriormente en un generador de secuencia de claves más o menos independiente del algoritmo hash. No se garantiza que SEAL sea tan robusto (o débil) como SHA-1. De manera similar, la expansión de clave de los cifrados de flujo HC-128 y HC-256 utiliza ampliamente la función hash SHA-256 .

La concatenación de salidas de múltiples funciones hash proporciona una resistencia a colisiones tan buena como la del algoritmo más robusto incluido en el resultado concatenado. Por ejemplo, versiones anteriores de Transport Layer Security (TLS) y Secure Sockets Layer (SSL) utilizaban sumas MD5 y SHA-1 concatenadas . ^{[ 20 ] [ 21 ]} Esto garantiza que un método para detectar colisiones en una de las funciones hash no invalide los datos protegidos por ambas funciones.

Para las funciones hash de construcción Merkle-Damgård , la función concatenada es tan resistente a colisiones como su componente más fuerte, pero no más resistente a colisiones. Antoine Joux observó que las colisiones de 2 conducen a colisiones de n : si es factible para un atacante encontrar dos mensajes con el mismo hash MD5, entonces puede encontrar tantos mensajes adicionales con ese mismo hash MD5 como desee, sin mayor dificultad. ^{[ 22 ]} Entre esos n mensajes con el mismo hash MD5, es probable que haya una colisión en SHA-1. El trabajo adicional necesario para encontrar la colisión SHA-1 (más allá de la búsqueda exponencial de cumpleaños) requiere solo tiempo polinomial . ^{[ 23 ] [ 24 ]}

Existen numerosos algoritmos de hash criptográficos; en esta sección se enumeran algunos de los más utilizados. Una lista más extensa se puede encontrar en la página que compara las funciones hash criptográficas .

Existe una larga lista de funciones hash criptográficas, pero se ha descubierto que muchas son vulnerables y no deberían utilizarse. Por ejemplo, el NIST seleccionó 51 funciones hash ^{[ 25 ]} como candidatas para la primera ronda de la competición de hash SHA-3, de las cuales 10 se consideraron defectuosas y 16 mostraron debilidades significativas, por lo que no pasaron a la siguiente ronda; se puede encontrar más información en el artículo principal sobre las competiciones de funciones hash del NIST .

Aunque una función hash nunca haya sido vulnerada, un ataque exitoso contra una variante debilitada puede minar la confianza de los expertos. Por ejemplo, en agosto de 2004 se detectaron colisiones en varias funciones hash populares en aquel entonces, incluyendo MD5. ^{[ 26 ]} Estas debilidades pusieron en entredicho la seguridad de algoritmos más robustos derivados de las funciones hash débiles, en particular, SHA-1 (una versión reforzada de SHA-0), RIPEMD-128 y RIPEMD-160 (ambas versiones reforzadas de RIPEMD). ^{[ 27 ]}

El 12 de agosto de 2004, Joux, Carribault, Lemuel y Jalby anunciaron una colisión para el algoritmo SHA-0 completo. ^{[ 22 ]} Joux et al. lograron esto utilizando una generalización del ataque de Chabaud y Joux. Descubrieron que la colisión tenía una complejidad de 2 ⁵¹ y tomó alrededor de 80 000 horas de CPU en una supercomputadora con 256 procesadores Itanium 2 , lo que equivale a 13 días de uso a tiempo completo de la supercomputadora.

En febrero de 2005, se informó de un ataque a SHA-1 que encontraría colisiones en aproximadamente 2 ⁶⁹ operaciones de hash, en lugar de las 2 ⁸⁰ esperadas para una función hash de 160 bits. En agosto de 2005, se informó de otro ataque a SHA-1 que encontraría colisiones en 2 ⁶³ operaciones. Se conocen otras debilidades teóricas de SHA-1, ^{[ 28 ] [ 29 ]} y en febrero de 2017 Google anunció una colisión en SHA-1. ^{[ 30 ]} Los investigadores de seguridad recomiendan que las nuevas aplicaciones pueden evitar estos problemas utilizando miembros posteriores de la familia SHA, como SHA-2 , o utilizando técnicas como el hash aleatorio ^{[ 31 ]} que no requieren resistencia a colisiones.

Un ataque práctico y exitoso rompió MD5 (utilizado dentro de los certificados para Transport Layer Security ) en 2008. ^{[ 32 ]}

Muchos algoritmos hash criptográficos se basan en la construcción Merkle-Damgård . Todos los algoritmos hash que utilizan directamente el resultado completo de una construcción Merkle-Damgård son vulnerables a ataques de extensión de longitud . Esto hace que los algoritmos MD5, SHA-1, RIPEMD-160, Whirlpool y SHA-256/SHA-512 sean vulnerables a este ataque específico. SHA-3, BLAKE2, BLAKE3 y las variantes truncadas de SHA-2 no son vulnerables a este tipo de ataque.

En lugar de almacenar las contraseñas de usuario sin cifrar, los sistemas de acceso controlado suelen guardar el hash de cada contraseña en un archivo o base de datos. Cuando alguien solicita acceso, la contraseña que introduce se somete a un proceso de hash y se compara con el valor almacenado. Si la base de datos es robada (un suceso demasiado frecuente ^{[ 33 ]} ), el ladrón solo tendrá los valores hash, no las contraseñas.

Un atacante aún puede recuperar las contraseñas a partir de los hashes, ya que la mayoría de las personas eligen contraseñas de forma predecible. Las listas de contraseñas comunes circulan ampliamente y muchas contraseñas son lo suficientemente cortas como para que se puedan probar todas las combinaciones posibles si el cálculo del hash no lleva demasiado tiempo. ^{[ 34 ]}

El uso de sal criptográfica previene algunos ataques, como la creación de archivos de precomputación de valores hash, por ejemplo, tablas arcoíris . Sin embargo, con procesadores gráficos de gama alta es posible realizar búsquedas del orden de 100 mil millones de pruebas por segundo , lo que posibilita los ataques directos incluso con sal. ^{[ 35 ] [ 36 ]} El Instituto Nacional de Estándares y Tecnología de los Estados Unidos recomienda almacenar contraseñas utilizando funciones hash especiales llamadas funciones de derivación de clave (KDF), creadas para ralentizar las búsquedas por fuerza bruta. ^{[ 13 ] : 5.1.1.2} Las funciones hash lentas incluyen pbkdf2 , bcrypt , scrypt , argon2 , Balloon y algunos modos recientes de Unix crypt . Para las KDF que realizan múltiples hashes para ralentizar la ejecución, el NIST recomienda un número de iteraciones de 10 000 o más. ^{[ 13 ] : 5.1.1.2}

• Paar, Christof; Pelzl, Jan (2009). "11: Funciones hash" . Comprensión de la criptografía, un libro de texto para estudiantes y profesionales . Springer .{{cite book}}: CS1 maint: servicio de archivo obsoleto ( enlace ) (el sitio web complementario contiene un curso de criptografía en línea que abarca funciones hash)
• "El sitio web de la función hash ECRYPT" .
• Buldas, A. (2011). "Serie de miniconferencias sobre funciones hash criptográficas" .{{cite web}}: CS1 maint: servicio de archivado obsoleto ( enlace )
• Aplicación de código abierto basada en Python con interfaz gráfica de usuario (GUI) utilizada para verificar las descargas.