严重性：高 类型：漏洞
通过对SHA-256哈希算法压缩函数中的消息调度表的结构性漏洞进行利用，已成功演示了一次经过验证的二次原像碰撞攻击。该攻击专门针对比特币创世区块头，能够生成产生相同256位哈希输出的替代输入。与之前的理论攻击不同，这是一次实际的、比特级完美的碰撞，并已得到标准SHA-256实现的验证。这一发现从根本上动摇了SHA-256在特定内部状态条件下的抗碰撞性，引发了对依赖SHA-256进行加密安全的系统完整性的担忧。目前尚未在真实环境中观察到已知的利用，也尚未发布任何补丁或缓解措施。在关键基础设施、区块链技术或数字签名中使用SHA-256的欧洲组织可能面临更高的风险。立即的缓解措施包括过渡到更安全的哈希函数并监控密码学依赖项。由于该威胁可能对数字资产的机密性、完整性和可信度产生潜在影响，且无需用户交互或身份验证，因此被评估为高严重性。
AI 分析
技术摘要
此漏洞代表了针对现代数字安全基石——SHA-256密码哈希函数的首次已验证的二次原像碰撞攻击。该攻击利用了SHA-256消息调度表（称为W-调度表）中的一个结构性弱点，该调度表控制在压缩阶段如何扩展和处理消息块。通过精心操纵W-调度表内的内部状态转换，攻击者可以生成一个替代输入消息（‘Kaoru DNA’），该消息产生与原始输入完全相同的256位哈希输出，这一点在比特币创世区块头上得到了具体演示。这一点非常重要，因为SHA-256的安全模型假设了二次原像抵抗性，即从计算上应该不可能找到哈希到相同输出的不同输入。该碰撞是比特级完美的，并且可以使用任何标准SHA-256实现进行验证，证实了此攻击向量的实际可行性。虽然之前对SHA-256的攻击大多是理论性的或未产生完全碰撞的差分密码分析，但此利用展示了一个具体的结构性漏洞。其影响不仅限于比特币，还延伸至任何依赖SHA-256进行数据完整性、数字签名或区块链共识的系统。目前尚未发布补丁或缓解措施，也没有已知的利用在真实环境中活跃，但这一发现挑战了长期以来对SHA-256抗碰撞性的信任。该攻击不需要身份验证或用户交互，增加了其威胁潜力。验证代码已公开，使安全社区能够进行进一步的分析和复现。
潜在影响
对于欧洲组织而言，此漏洞的影响可能是深远的，特别是对于那些依赖SHA-256来保护区块链技术、数字签名、证书颁发机构和数据完整性机制的组织。如果替代原像被利用，使用区块链或加密货币的金融机构可能面临交易伪造或双重支付的风险。依赖SHA-256进行安全通信或软件完整性验证的关键基础设施和政府机构，其密码学保证的信任度可能会受损。产生二次原像碰撞的能力破坏了完整性和真实性保证，可能使攻击者能够未被察觉地替换恶意数据。这可能导致数据泄露、欺诈以及对数字服务信心的丧失。真实环境中缺乏已知利用为缓解提供了时间窗口，但验证代码的公开性增加了未来武器化的风险。欧洲组织必须评估其密码学依赖项，并为迁移到更安全的哈希函数做好准备，以维持符合欧盟网络安全法规和标准。
缓解建议
- 立即提高密码学灵活性：开始将关键系统从SHA-256过渡到更安全的哈希函数，例如SHA-3或具有更大输出尺寸的SHA-2变体（如SHA-512），在可行的情况下。
- 审计与盘点：对所有使用SHA-256的系统、应用程序和协议进行全面审计，优先处理涉及区块链、数字签名和证书验证的系统。
- 实施多重哈希验证：在可能的情况下，并行使用多种哈希算法，以减少对单一易受攻击哈希函数的依赖。
- 监控密码学研究和建议：及时关注标准机构的最新动态，并迅速应用推荐的补丁或配置更改。
- 增强异常检测：加强对可能表明利用尝试的异常区块链交易或签名异常的监控。
- 与供应商和服务提供商接洽：确保第三方提供商了解此漏洞，并制定了缓解与SHA-256相关风险的计划。
- 准备事件响应计划：针对潜在的密码学受损场景制定并测试响应策略。
- 避免依赖无法更新或修补以支持更强哈希函数的遗留系统。
- 教育安全团队了解二次原像攻击的影响以及密码学灵活性的重要性。
受影响国家
德国、法国、英国、荷兰、瑞士、瑞典、意大利、西班牙、比利时、波兰
来源：Reddit NetSec 发布日期：2025年12月27日星期六