LK: SHA-1 ütközés előállítására használható technikát jelentettek be a Google és a CWI Institute kutatói (frissítve)

Titkosítás, biztonság, privát szféra

Akkor:

és ma:

( nxu | 2017. 02. 24., p – 13:37 )

Abban igaza van, hogy ha a rosszfiúnak (írási) hozzáférése van a git repodhoz, akkor nem elsősorban a commit hash collision miatt kell aggódni

( sarkanyolo v | 2017. 02. 24., p – 16:37 )

Ha mindenképpen kompatibilitást törő változtatást kell készíteni, akkor miért nem a modernebb SHA-3 a preferált verzió?
Ki akarja ezt pár évente újra és újra eljátszani?

rendes tőled hogy egy smiley-val is jelezted hogy csak viccelődsz - egyébként linusz "mindkét sikeres projektemet mások írták meg" torvaldosz bejelentéséből is lehet látni hogy nagy problémák vannak, mert mindig ilyen alkalmakkor veszi elő a ködösítős stílusát. ez a masszív beleszarás persze másoknak is feltűnt (hupon nyilván nem, itt kevesen tudnak angolul):

Linus's transition plan seems to involve truncating SHA-256 to 160-bits. Collision resistance absolutely matters for the commit signing case, and once again Linus is downplaying this. He starts off talking about how they're not doing that, then halfway through adding a "oh wait but some people do that", then trying to downplay it again by talking about how an attacker would need to influence the original commit.

Collision resistance absolutely matters for the commit signing case, and once again Linus is downplaying this. He starts off talking about how they're not doing that, then halfway through adding a "oh wait but some people do that", then trying to downplay it again by talking about how an attacker would need to influence the original commit.

Of course, this happens all the time: it's called a pull request. Linus insists that prior proper source code review will prevent an attacker who sends you a malicious pull request from being able to pull off a chosen prefix collision. I have doubts about that, especially in any repos containing binary blobs (and especially if those binary blobs are executables)

Linus just doesn't take this stuff seriously. I really wish he would, though.

This is horseshit, and Linus should not be saying these hugely misleading statements about security principles.

Linus could have designed a cryptographically perfect system such that he could pull Tytso's signed commit from anywhere on the internet - but he didn't

It's a huge shame because git is very close to being a cryptographically perfect system, but the original creator can't get his security reasoning correct, and does so so badly yet so publicly, and minions who don't know what they're talking about come flocking to defend this.

persze lehet a git-et fikázni (és van is miért), de eközben észben kell tartani hogy a magját alkotó hibás elképzelések linuxföldről jönnek, a bugware/lyukware kernelek, adatvesztésre kihegyezett I/O alrendszerek és fs-ek világából, ahol egy program olyannyira nem bízhat az alatta futó OS részeinek integritásában, hogy kénytelen még az értelmes verziószámozást is egy hash-re cserélni, kétségbeesett végső (és mint látható, kudarcra ítélt) kísérletként a konzisztenciaellenőrzésre

Sad!

Persze Linus véleménye egyébként se számít szart se, egyrészt azért mert már a gitt shellscript elkészítése előtt 1 évvel se volt ajánlott az SHA1-et használni, dehát ki nem szarja le az ilyesmit, másrészt pedig mert a jelenleg használt git-hez már hosszú évek óta semmi köze

( persicsb | 2017. 02. 24., p – 18:53 )

Linus zsenialitása:
"If you have disk corruption, if you have DRAM corruption, if you have any kind of problems at all, Git will notice them. It's not a question of if, it's a guarantee. You can have people who try to be malicious. They won't succeed."
https://www.youtube.com/watch?v=4XpnKHJAok8&t=56m37s

ahahahahahahah.

"I guarantee you, if you put your data in Git, you can trust the fact that five years later, after it was converted from your hard disk to DVD to whatever new technology and you copied it along, five years later you can verify that the data you get back out is the exact same data you put in"
Hát, ez nem jött be, Linus.