공인인증서는 안전할까?

올 2월에 중국의 학자들이 SHA-1을 깼다고 해서 시끄러웠는데요, 전자서명에 영향이 있느냐 없느냐 등등...

일방향 해쉬 함수는 입력의 길이에는 상관없이 20바이트의 결과값을 내고, 또한 결과값을 안다고 해서 입력값을 역으로 계산하는 것은 불가능한 함수를 말합니다. 보통 원문에 전자서명을 할 때, 해쉬 함수를 통해 원문에 대한 20바이트 해쉬값을 구하고 이 해쉬값에 전자서명을 하게 됩니다.

그런데, 만약 서로 다른 원문이 같은 해쉬값을 가진다면 어떻게 될까요? 가령, 인터넷 뱅킹에 계좌이체 시에 공인인증서로 전자서명을 하는 데, 해커가 해쉬값은 같지만 이체금액은 다른 전문으로 교체가 가능하다는 얘기가 되는 것이지요...

심각하지요?

아뭏든 소문만 무성하던 그 사건에 대한 정식 논문이 온라인에 배포되었습니다.

실제로 위와 같이 조작이 쉬워지는 것인 지, 본 논문이 미칠 영향에 대해서 암호전문가에게 물어봐야겠네요...