A primeira colisão pública, a SHAttered (Stevens e colegas do CWI e do Google, fevereiro de 2017), produziu dois arquivos PDF diferentes com o mesmo digest SHA-1. Em 2020, “SHA-1 is a Shambles”, de Leurent e Peyrin, tornou práticas as colisões de prefixo escolhido, a um custo de dezenas de milhares de dólares em tempo de GPU, o que permitiu forjar certificações de chaves PGP. A resistência a pré-imagens não está quebrada.
Situação: o NIST proibiu o SHA-1 para gerar assinaturas digitais em 2013 e anunciou, em dezembro de 2022, que vai retirar o SHA-1 do uso para aplicar proteção em todas as aplicações até 31 de dezembro de 2030. A RFC 9155 descontinua as assinaturas MD5 e SHA-1 no TLS 1.2; os navegadores deixaram de confiar em certificados SHA-1 em 2017; o OpenSSH 8.8 desativou por padrão o algoritmo de assinatura SHA-1 ssh-rsa.
Onde ainda sobrevive: IDs de objetos do Git (com uma implementação que detecta colisões; existem repositórios SHA-256), impressões digitais OpenPGP v4, HMAC-SHA1 (não afetado por colisões e ainda usado no TOTP e em alguns protocolos mais antigos) e certificados legados. Considere-o aceitável apenas onde nenhum atacante consiga influenciar os dados dos quais se calcula o hash.