В Fedora Linux 39 се планира по подразбиране да бъде деактивирана поддръжката на подписи, базирани на SHA-1

Разработчиците на проекта Fedora планират да прекратят поддръжката на цифрови подписи, базирани на алгоритъма SHA-1 в Fedora Linux 39. Прекратяването предполага недоверие към подписите, в които се използват хешове SHA-1 (SHA-224 ще бъде обявен за минимално поддържан в цифровите подписи), но ще се запази поддръжката на HMAC с SHA-1 и възможността за включване на LEGACY профил с SHA-1. След прилагане на промените, библиотеката OpenSSL по подразбиране ще започне да блокира генерирането и проверката на подписи с SHA-1.

Прекратяването ще се извърши на няколко етапа: В Fedora Linux 36 подписите, базирани на SHA-1, ще бъдат изключени от политиката „FUTURE“, ще бъде предоставена тестова политика TEST-FEDORA39 за деактивиране на SHA-1 по желание на потребителя (update-crypto-policies —set TEST-FEDORA39). При създаването и верификацията на подписи, базирани на SHA-1, в логовете ще се показват предупреждения. В процеса на подготовка на версията Fedora Linux 38, до формирането на бета-версията, в хранилището rawhide ще бъде приложена политика, забраняваща използването на подписи на базата на SHA-1, но в бета версията и финалния релиз на Fedora Linux 38 това изменение няма да се прилага. В релиза на Fedora Linux 39 политиката за прекратяване на поддръжката на подписи на базата на SHA-1 ще бъде приложена по подразбиране.

Предложеният план все още не е разгледан от комитета FESCo (Fedora Engineering Steering Committee), който отговаря за техническата част на разработката на дистрибуцията Fedora. Прекратяването на поддръжката на подписи на базата на SHA-1 е обусловено от повишената ефективност на колизионни атаки с предварително зададен префикс (цената за подбор на колизия е оценена на няколко десетки хиляди долара). В браузърите сертификатите, заверени с алгоритъма SHA-1, са обозначени като небезопасни от средата на 2016 година.

Източник: opennet.ru