Razvijači projekta Fedora planiraju isključivanje podrške za digitalne potpise temeljene na SHA-1 algoritmu u Fedora Linux 39. Isključivanje podrazumijeva prekid povjerenja u potpise koji koriste SHA-1 heš (SHA-224 bit će proglašen kao minimalno podržani u digitalnim potpisima), ali će se sačuvati podrška za HMAC sa SHA-1 i pružiti mogućnost uključivanja LEGACY profila sa SHA-1. Nakon primjene promjena, OpenSSL biblioteka će zadano početi blokirati generiranje i provjeru potpisa s SHA-1.
Isključivanje će se provesti u nekoliko faza: U Fedora Linux 36, potpisi temeljeni na SHA-1 bit će izuzeti iz politike „FUTURE“, pružit će se testna politika TEST-FEDORA39 za isključivanje SHA-1 na zahtjev korisnika (update-crypto-policies —set TEST-FEDORA39), prilikom generiranja i verifikacije potpisa temeljnih na SHA-1 u logu će se prikazivati upozorenja. Tijekom pripreme izdanja Fedora Linux 38, do formiranja beta verzije, u repozitoriju rawhide primijenit će se politika koja zabranjuje korištenje SHA-1 potpisa, ali u beta izdanju i javnom izdanju Fedora Linux 38 ove će se promjene primijeniti. U izdanju Fedora Linux 39, politika koja prekida podršku za SHA-1 potpise bit će primijenjena kao zadana.
Predloženi plan još nije razmatran od strane odbora FESCo (Fedora Engineering Steering Committee), koji je odgovoran za tehnički dio razvoja Fedora distribucije. Prekid podrške za SHA-1 potpise uvjetovan je povećanom učinkovitošću kolizionih napada s unaprijed definiranim prefiksima (trošak pronalaženja kolizije procijenjuje se na nekoliko desetaka tisuća dolara). U preglednicima se certifikati ovjereni korištenjem SHA-1 algoritma označavaju kao nezaštićeni od sredine 2016. godine.
Izvor: opennet.ru
