4. 校验算法基础（三）：SHA-1/SHA-256/SHA-3算法对比、哈希碰撞与安全性、如何选择哈希算法
聊完了MD5和CRC，咱们得把目光放到真正的「硬核」选手身上了——SHA家族。SHA-1、SHA-256、SHA-3，这三个名字你在固件安全领域肯定天天见。但你真的清楚它们之间的区别吗？
说实话，我见过不少工程师，一提到哈希就「SHA-256走天下」。嗯，大部分场景下这没错，但如果你不了解背后的原理和风险，迟早会踩坑。今天我就把这三个算法的底裤扒干净，再聊聊怎么选。
4.1 SHA-1：曾经的王者，如今的弃子
SHA-1诞生于1995年，输出160位（20字节）的摘要。在很长一段时间里，它是数字签名和固件校验的标配。我早年做的一个路由器项目，用的就是SHA-1做固件签名校验，当时觉得稳得很。
但好景不长。2005年，密码学界就发现了SHA-1的理论弱点。到了2017年，Google和CWI研究所联合宣布了全球首个实用的SHA-1碰撞攻击——他们生成了两个内容不同但SHA-1完全相同的PDF文件。这就像你拿着两把不同的钥匙，却打开了同一把锁。
为什么会这样？说白了，SHA-1的摘要长度只有160位。根据生日悖论，攻击者只需要大约2^80次尝试就能找到碰撞。而2017年的攻击，成本已经降到了约11万美元。对于攻击者来说，这点钱撬开你的设备，太值了。
4.2 SHA-256：当前的中流砥柱
SHA-256属于SHA-2家族，输出256位（32字节）。它从2001年发布至今，依然是固件安全领域最广泛使用的哈希算法。我个人习惯，只要不是资源受限到极致，首选就是SHA-256。
它的安全性建立在两个核心设计上：
- 更大的摘要空间： 2^256的碰撞难度，以目前的计算能力，暴力破解需要的时间比宇宙年龄还长。
- 更复杂的压缩函数： 64轮迭代运算，每一轮都包含位运算、模加和逻辑函数，抗分析能力远强于SHA-1。
我在项目中遇到过一件事：某次给一个IoT设备做固件升级，客户坚持要用SHA-1，理由是「MCU性能不够」。我测了一下，SHA-256在Cortex-M4上跑一次256字节的固件块，只比SHA-1慢了不到2毫秒。这点延迟换来的安全性提升，绝对值。
4.3 SHA-3：新一代的备选方案
SHA-3是2015年才正式发布的，它和SHA-2完全是两套设计哲学。SHA-2沿用了MD5/SHA-1的Merkle-Damgård结构，而SHA-3基于Keccak海绵结构。说白了，SHA-3不是SHA-2的升级版，而是「万一SHA-2被攻破」的备胎。
海绵结构有个很有意思的特性：你可以灵活调整输出长度。SHA-3标准定义了四种变体：SHA3-224、SHA3-256、SHA3-384、SHA3-512。数字越大，输出越长，安全性越高，计算开销也越大。
| 算法 | 输出长度 | 安全强度 | 结构 | 典型应用场景 |
|---|---|---|---|---|
| SHA-1 | 160位 | 80位（已攻破） | Merkle-Damgård | ❌ 已淘汰 |
| SHA-256 | 256位 | 128位 | Merkle-Damgård | 固件签名、TLS证书、区块链 |
| SHA-3-256 | 256位 | 128位 | Keccak海绵 | 量子安全预备、新协议设计 |
| SHA-512 | 512位 | 256位 | Merkle-Damgård | 高安全等级、大文件校验 |
你可能会问：既然SHA-256已经够安全了，为什么还要用SHA-3？嗯，这里有个关键点：SHA-2和SHA-1共享相同的结构设计。如果未来有人发现了针对Merkle-Damgård结构的通用攻击，SHA-2也会受影响。而SHA-3的结构完全不同，相当于多了一层保险。
4.4 哈希碰撞与安全性：不只是理论问题
哈希碰撞，简单说就是两个不同的输入产生了相同的哈希值。对于固件校验来说，这意味着攻击者可以构造一个恶意固件，它的哈希值和合法固件一模一样。你的校验逻辑会认为它是合法的，然后愉快地刷进去……后果不堪设想。
我曾经帮一个客户做安全审计，发现他们的固件升级流程只用了一个16位的CRC校验。我当时就问他：「你知道16位CRC的碰撞概率有多高吗？」他愣了一下。我给他算了一笔账：对于1MB的固件，随机修改一个字节，CRC16碰撞的概率大约是1/65536。也就是说，攻击者平均试6万多次，就能伪造出一个校验通过的恶意固件。这还是在没有针对性攻击的情况下。
这里还要提一个概念：抗碰撞性。一个安全的哈希算法必须满足两个条件：
- 抗第一原像攻击： 给定哈希值，无法反推出原始输入。
- 抗第二原像攻击： 给定一个输入，无法找到另一个输入使哈希值相同。
SHA-256在这两点上至今没有实际攻击。SHA-3也一样。但SHA-1的第二原像攻击已经被证明可行。
4.5 如何选择哈希算法：我的决策框架
讲了这么多理论，最后落到实践上。你在做固件校验时，到底该选哪个算法？我总结了一个简单的决策流程，画成了下面的图：
这个流程是我在实际项目中反复打磨出来的。核心原则就一句话：能用SHA-256就别用SHA-1，能上硬件加速就别用软件实现，有前瞻性需求就考虑SHA-3。
最后，给你几个具体的选型建议：
- 新项目： 默认选SHA-256。如果MCU有硬件加速器，直接开箱即用。
- 资源极度受限（如8位MCU、几KB RAM）： 可以考虑SHA-256的轻量级实现，或者用SHA-224（输出更短，安全性略低但够用）。
- 高安全等级（如金融、军工）： 上SHA-512或SHA-3-512。别心疼那点计算时间，安全无小事。
- 量子安全预备： SHA-3是更好的选择。虽然量子计算机对哈希算法的威胁主要是Grover算法（将安全强度减半），但SHA-3的设计更抗量子攻击。
好了，关于SHA-1、SHA-256、SHA-3的对比和选型，就聊到这儿。记住，哈希算法是固件安全的第一道防线，选对了，后面省心很多。