Auteur Sujet: La résistance de SHA-1 aux collisions est plus menacée que jamais  (Lu 9330 fois)

0 Membres et 1 Invité sur ce sujet

corrector

  • Invité
La résistance de SHA-1 aux collisions est plus menacée que jamais
« Réponse #36 le: 01 mars 2017 à 23:43:53 »
Vous mélangez un peu les usages la. y'a hashage pour crypto et hashage pour d'autres usages. Git par exemple ce n'est pas pour des raisons de crypto.
Pas là pour raison de crypto, vraiment?

Apres cela n’empêche pas d'être problématique, par exemple le serveur SVN de Webkit a été planté gravement quand quelqu'un a envoyé ces 2 fichiers PDF ayant le meme hash SHA-1 dedans...: on n'est pas en crypto mais on a un probleme de sécurité car quelqu'un qui a les droits peut 'planter' (DoS) ou corrompre un dépôt de sources (mais bon apres quelqu'un qui a les droits 'commit' est censé être responsable de ses actes :) )
être responsable de ses actes = ne pas utiliser des fichiers ayant une valeur SHA1 commune?
;)

Puisque SHA1 est "pas pour des raisons de crypto", alors avoir une tel cas n'est pas une attaque sur la crypto, donc le dév n'a rien à se reprocher.

corrector

  • Invité
La résistance de SHA-1 aux collisions est plus menacée que jamais
« Réponse #37 le: 01 mars 2017 à 23:52:33 »
Ok, les choses sont claires, next.....

Rigolade apart, ca fait depuis la nuit des temps qu'on dit de ne pas mettre tous les oeufs dans le meme pannier, et que dans les reseaux et systemes on parle de redondance. Cote securite n'ont ils pas encore bien appris les lecons ?
La leçon est de ne pas utiliser de technologie dépassée, pas d'empiler les planches pourries!

Parce-que avoir deux blobs avec le meme hash pour une fonction bien precise, c'est clair que ce n'est qu'une question de temps (que ca soit 5 minutes ou 5 ans), mais avoir deux blobs qui ont le meme hash pour deux (ou plusieurs) fonctions, je crois qu'on est bien loin....
J'espère que tu n'utilises JAMAIS la crypto pour quoi que ce soit d'important, puisque "ce n'est qu'une question de temps (que ca soit 5 minutes ou 5 ans)" avant qu'elle soit cassée.

Comme variotion, il y a aussi le fait de faire un hash sur le blob/fichier original, puis un hash (meme ou autre fonction) sur le fichier + info supplèmentaire.... Bonjour aux collisions qui donnet des hash identiques dans 2 cas ......
Quelle info supplèmentaire?

Si tu utilises des informations sans lien avec le contenu du fichier, tu ne mesures plus le contenu.

Ce que tu dis manque totalement de logique!