Во Федора Linux 39 план за оневозможување на поддршката за потписи базирани на SHA-1 по дифолт

Развивачите на проектот Fedora изнесоа план за оневозможување на поддршката за дигитални потписи базирани на SHA-1 во Fedora. Linux 39. Оневозможувањето ќе ја отстрани довербата во потписите што користат SHA-1 хешови (SHA-224 ќе биде деклариран како минимално поддржан хеш за дигитални потписи), но ќе ја задржи поддршката за HMAC со SHA-1 и ќе обезбеди опција за овозможување на LEGACY профилот со SHA-1. По примената на промените, библиотеката OpenSSL ќе го блокира генерирањето и верификацијата на SHA-1 потписи по дифолт.

Затворањето е планирано да се спроведе во неколку фази: Во Федора Linux 36 потписи базирани на SHA-1 ќе бидат исклучени од политиката „FUTURE“. Обезбедена е тест политика, TEST-FEDORA39, за оневозможување на SHA-1 по дискреционо право на корисникот (update-crypto-policies --set TEST-FEDORA39). Ќе се евидентираат предупредувања при креирање и верификација на потписи базирани на SHA-1. За време на подготовката за објавување на Fedora, Linux 38 Пред бета верзијата, репозиториумот rawhide ќе има политика што ја забранува употребата на потписи базирани на SHA-1, но во бета и Fedora изданијата Linux 38 оваа промена нема да се примени. Во изданието на Fedora Linux 39 политиката за застарување на потписите базирани на SHA-1 ќе се применува по дифолт.

Предложениот план сè уште не е разгледан од FESCo (Управувачки комитет за инженерство на Fedora), кој е одговорен за техничкиот дел од развојот на дистрибуцијата на Fedora. Крајот на поддршката за потписите базирани на SHA-1 се должи на зголемената ефикасност на нападите од судир со даден префикс (трошокот за избор на судир се проценува на неколку десетици илјади долари). Прелистувачите ги означуваа сертификатите потпишани со алгоритмот SHA-1 како небезбедни од средината на 2016 година.

Извор: opennet.ru