Re: [linux_var] SHA1 collision & git

[Elena ``of Valhalla'' <valhalla-l@trueelena.org>]

On 2017-02-24 at 08:47:51 +0000, Lorenzo Lobba wrote:
> > Torvalds ha parlato.
> https://marc.info/?l=git&m=148787047422954

ha parlato, ma prima di vedere l'attacco, mi pare che lasci un po' il
tempo che trova

"I haven't seen the attack yet"

> Git non calcola solamente gli hash, ma aggiunge anche un header. Questo
> rende molto difficile creare due oggetti (commit, file,...) diversi ma con
> hash uguale. Molto più complicato di generare 2 file pdf come
> nell'esperimento.

sicuramente questo è vero, l'attacco richiede di poter inserire un po'
di dati "fuffa" da qualche parte nell'header, e in git questo è più
difficile che non in un pdf. Ma se ho capito bene la fuffa può essere
anche nel file committato, e ad esempio qui c'è un modo divertente per
inserirlo:

http://joeyh.name/blog/entry/SHA1_collision_via_ASCII_art/

Certo, richiede di avere accesso in scrittura al repository, e non è un
attacco banale da mettere in pratica, per cui al momento è possibile che
sia solo teorico, però io spero che git si dia un po' una mossa a
cambiare algoritmo, che i tempi di adozione di queste cose si misurano
in anni, e nel frattempo gli attacchi possono migliorare.
-- 
Elena ``of Valhalla''
_______________________________________________
Talking mailing list
Talking@ml.linuxvar.it
http://ml.linuxvar.it/cgi-bin/mailman/listinfo/talking