La première collision publique, SHAttered (Stevens et ses collègues du CWI et de Google, février 2017), a produit deux fichiers PDF différents ayant le même condensat SHA-1. En 2020, « SHA-1 is a Shambles », de Leurent et Peyrin, a rendu pratiques les collisions à préfixe choisi, pour quelques dizaines de milliers de dollars de temps GPU, ce qui a permis de falsifier des certifications de clés PGP. La résistance à la préimage n’est pas cassée.
Statut : le NIST a interdit SHA-1 pour la génération de signatures numériques en 2013 et a annoncé en décembre 2022 qu’il cesserait d’ici le 31 décembre 2030 d’autoriser SHA-1 pour appliquer une protection, quelle que soit l’application. La RFC 9155 déprécie les signatures MD5 et SHA-1 dans TLS 1.2 ; les navigateurs ont cessé de faire confiance aux certificats SHA-1 en 2017 ; OpenSSH 8.8 a désactivé par défaut l’algorithme de signature SHA-1 ssh-rsa.
Où il subsiste : les identifiants d’objets Git (avec une implémentation qui détecte les collisions ; des dépôts SHA-256 existent), les empreintes OpenPGP v4, HMAC-SHA1 (non affecté par les collisions, encore utilisé dans TOTP et certains protocoles plus anciens) et les certificats hérités. Ne le considérez comme acceptable que là où aucun attaquant ne peut influer sur les données hachées.