哈希的保质期：为什么十年前安全的算法今天可能一文不值
ice 如果你在 2010 年告诉一位安全工程师：“五年后，SHA-1 将被宣告死亡。”他可能会礼貌地点头，心里却不以为然。毕竟，那时 SHA-1 仍是 SSL 证书签名的默认选择，Windows 更新、Git 仓库、甚至 DNSSEC 都在用它。一个由 NSA 设计、经过多年密码分析的标准，怎么可能说倒就倒？
但历史开了个残酷的玩笑：2017 年，Google 和 CWI Amsterdam 联手发布了第一个实用的 SHA-1 碰撞实例——两个不同的 PDF 文件拥有相同的 SHA-1 哈希值。
这个曾经被认为至少还能撑十年的算法，在诞生 22 年后正式进入“僵尸状态”。
这不是孤例。
密码学哈希算法有一个隐形的保质期：从设计发布到被宣布不安全，平均只有 15-20 年。而随着算力的指数级增长和新攻击方法的涌现，这个周期正在缩短。
保质期的三个杀手
1. 摩尔定律的阴影
哈希算法的安全强度通常用“安全位数”来衡量。例如，SHA-256 提供 128 位的碰撞抵抗（生日攻击下为 2^128 次操作）。听起来很大，但请注意：这个数字是相对于当前的计算能力而言的。
2004 年，一台普通 PC 每秒能做约 10 万次 SHA-1 计算。到了 2024 年，一块 RTX 4090 显卡每秒可以执行超过 10 亿次。二十年间，计算能力增长了四个数量级。这意味着原本需要 2^80 次操作的攻击，如今在专用硬件上可能只需要数年甚至数月。
更可怕的是专用芯片：比特币矿机 ASIC 的出现证明，针对特定哈希算法（SHA-256）的定制硬件可以将计算速度再提高几个数量级。虽然 ASIC 主要用于挖矿，但这一思路完全可以迁移到破解任务上。
2. 密码分析的进化
如果说算力增长是“蛮力”，那么密码分析就是“巧劲”。过去二十年，密码学家发明了一系列优雅的攻击方法，大幅降低了破解哈希所需的计算量。
以 MD5 为例：1996 年发现第一个碰撞弱点，2004 年王小云团队实现了手动碰撞，2008 年可以用普通笔记本在几分钟内生成碰撞，2012 年 Flame 恶意软件利用 MD5 碰撞伪造了微软的数字签名。每一步都是“保质期”的加速衰减。
SHA-1 的命运类似：2005 年理论攻击声称复杂度为 2^69，2015 年降到 2^57，2017 年实际碰撞只需 2^63 次操作（相当于 6500 CPU 年，但在 GPU 集群上只需数周）。如今，任何人都可以用 Google 发布的碰撞工具生成两个 SHA-1 值相同的文件。
3. 生态系统的连锁反应
一个算法被攻破，影响的远不止它本身。因为哈希算法被嵌入到无数协议、标准和产品中：
SSL/TLS 证书：CA/Browser Forum 在 2015 年禁止签发 SHA-1 证书，但在此之前签发的证书仍可能被滥用。
Git 仓库：Git 使用 SHA-1 标识每次提交。虽然 Git 社区开发了过渡到 SHA-256 的方案，但数十亿现有仓库的哈希链本质上已经不再可信。
软件包管理：APT、PyPI、npm 等依赖哈希校验包完整性。如果一个包的 SHA-1 哈希可以被碰撞，攻击者就可以替换成恶意版本而不被发现。
一个算法的死亡，往往伴随着漫长而痛苦的迁移期。在此期间，大量系统处于“半安全”状态——明知有风险，却因兼容性或成本无法立即升级。
典型案例：过期算法的墓碑
MD5（1992-2008）
设计寿命：预计 2^64 次操作安全
实际寿命：2004 年首次碰撞，2008 年完全崩溃
教训：过度依赖“看似复杂”的布尔运算，忽略了差分密码分析的威力
SHA-1（1995-2017）
设计寿命：预计 2^80 次操作安全
实际寿命：2017 年首次实际碰撞
教训：Merkle-Damgård 结构的固有弱点 + 计算能力的指数增长
正在老去的 SHA-256
当前状态：仍被认为是安全的
潜在威胁：量子 Grover 算法可将碰撞抵抗降至 2^85（仍需大量量子比特），但更紧迫的是：对 SHA-256 的经典密码分析从未停止。2023 年已有论文将碰撞复杂度从 2^128 降至 2^119——虽然离实际攻击还很远，但趋势令人担忧。
如何延长哈希的保质期？
面对不可避免的算法老化，安全从业者应该采取以下策略：
1. 拥抱算法敏捷性
不要将系统硬编码为单一哈希算法。设计时应支持算法切换，例如在数字签名中包含算法标识符，允许客户端选择接受哪些算法。TLS 1.3 的密码套件协商机制就是一个好例子。
2. 使用组合哈希
对同一数据同时计算多个哈希（如 SHA-256 + BLAKE2），即使其中一个被攻破，另一个仍能提供保护。代价是性能开销，但对高安全场景值得。
3. 关注标准化动态
NIST 每隔几年会评估哈希算法状态。目前 SHA-3 已作为备选标准，BLAKE2 和 BLAKE3 也在广泛使用。定期检查 NIST SP 800-107 等指南，了解哪些算法被推荐、哪些被弃用。
4. 量化安全余量
不要只看“算法名称”，而要计算实际的安全位数。例如，对于一个预期寿命 10 年的系统，应选择至少 128 位安全强度的哈希（如 SHA-256），并考虑未来十年算力增长 1000 倍（约 10 位）的影响。
5. 建立迁移预案
当某个算法出现理论攻击时，应立即启动迁移计划。2015 年 SHA-1 碰撞攻击尚未实现时，Chrome 就开始警告 SHA-1 证书，迫使网站提前升级。等到攻击变成现实再行动，往往为时已晚。
没有永恒的算法，只有永恒的风险
哈希算法的保质期不是固定的天数，而是一个不断缩小的窗口。十年前被视为金标准的算法，今天可能已经是安全负债。这不是密码学家的失败，而是信息安全领域的自然规律——攻击者在进步，计算资源在膨胀，而我们的防御必须持续进化。
下一次当你选择一个哈希算法时，不妨问自己：这个决定会在五年后让我后悔吗？
如果答案是“可能”，那就该为未来留出退路。
因为在这个领域，唯一不变的就是变化本身。而那些拒绝承认算法有保质期的人，终将成为下一个被碰撞击倒的案例。
