[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]
Re: [linux_var] SHA1 collision & git
Sì certo dobbiamo considerare il paradosso del compleanno, ma se parli di Git, tu in genere (anche lasciando perdere il discorso dello header e dei generatori fatti per gioco) non crei dei documenti fatti apposta per collidere, perciò puoi considerare il caso come 'documenti presi a caso'. In caso di intenzione malevola, devi avere l'accesso in scrittura al repo e se hai quello, la collisione SHA-1 è l'ultimo dei tuoi problemi.
Comunque la realtà è che pur avendo generato delle collisioni, un attacco, nel caso migliore GPU e con la potenza di calcolo adatta, ci vogliono ancora centinaia di anni per usare un attacco di forza bruta.
Ciao,
Riccardo
On February 24, 2017 10:49:35 AM GMT+01:00, Elena ``of Valhalla'' <valhalla-l@trueelena.org> wrote:
>On 2017-02-24 at 08:47:51 +0000, Lorenzo Lobba wrote:
>> > Torvalds ha parlato.
>> https://marc.info/?l=git&m=148787047422954
>
>ha parlato, ma prima di vedere l'attacco, mi pare che lasci un po' il
>tempo che trova
>
>"I haven't seen the attack yet"
>
>> Git non calcola solamente gli hash, ma aggiunge anche un header.
>Questo
>> rende molto difficile creare due oggetti (commit, file,...) diversi
>ma con
>> hash uguale. Molto più complicato di generare 2 file pdf come
>> nell'esperimento.
>
>sicuramente questo è vero, l'attacco richiede di poter inserire un po'
>di dati "fuffa" da qualche parte nell'header, e in git questo è più
>difficile che non in un pdf. Ma se ho capito bene la fuffa può essere
>anche nel file committato, e ad esempio qui c'è un modo divertente per
>inserirlo:
>
>http://joeyh.name/blog/entry/SHA1_collision_via_ASCII_art/
>
>Certo, richiede di avere accesso in scrittura al repository, e non è un
>attacco banale da mettere in pratica, per cui al momento è possibile
>che
>sia solo teorico, però io spero che git si dia un po' una mossa a
>cambiare algoritmo, che i tempi di adozione di queste cose si misurano
>in anni, e nel frattempo gli attacchi possono migliorare.
>--
>Elena ``of Valhalla''
>_______________________________________________
>Talking mailing list
>Talking@ml.linuxvar.it
>http://ml.linuxvar.it/cgi-bin/mailman/listinfo/talking
_______________________________________________
Talking mailing list
Talking@ml.linuxvar.it
http://ml.linuxvar.it/cgi-bin/mailman/listinfo/talking