A Fedora projekt fejlesztői megkezdték a SHA-1 algoritmuson alapuló digitális aláírások támogatásának leállítási tervét a Fedora Linux 39 verzióban. Az leállítás a SHA-1 hash-t használó aláírások iránti bizalom megszüntetését jelenti (minimumként a SHA-224 kerül bevezetésre a digitális aláírásokban), de a SHA-1 alapú HMAC támogatása megmarad, illetve lehetőség nyílik a LEGACY profil SHA-1-es verzióval történő bekapcsolására. A változtatások alkalmazása után az OpenSSL könyvtár alapértelmezés szerint blokkolni fogja a SHA-1 alapú aláírások generálását és ellenőrzését.
A leállítást több szakaszban tervezik végrehajtani: A Fedora Linux 36-ban a SHA-1 alapú aláírások ki fognak maradni a "FUTURE" politikából, egy tesztpolitika (TEST-FEDORA39) lesz elérhető a SHA-1 letiltásához a felhasználó kérésére (update-crypto-policies —set TEST-FEDORA39), a SHA-1 alapú aláírások létrehozásakor és ellenőrzésekor figyelmeztetések jelennek meg a naplóban. A Fedora Linux 38 közzététele előtt, a beta verzió kialakításának során a rawhide tárolóban egy olyan politika lép életbe, amely megtiltja a SHA-1 alapú aláírások használatát, de a Fedora Linux 38 beta és végleges verziójában ez a változás nem lép életbe. A Fedora Linux 39 verzióban alapértelmezettként alkalmazásra kerül a SHA-1 alapú aláírások támogatásának megszüntetésére vonatkozó politika.
A javasolt tervet még nem vitatta meg a FESCo (Fedora Engineering Steering Committee), amely a Fedora disztribúció technikai fejlesztéséért felelős. A SHA-1 alapú aláírások támogatásának megszüntetése a kolíziós támadások hatékonyságának növekedésével összefügg (a kolíziók megtalálásának költsége több tízezer dollárra becsülhető). A böngészőkben a SHA-1 algoritmus használatával érvényesített tanúsítványok már 2016 közepe óta védtelennek minősülnek.
Forrás: opennet.ru
