> comment se fait-il que les distributions linux (Gentoo par exemple)
> n'ont pas changé de système de hachage ?
Le MD5 est "cassé", mais pas n'importe comment non plus. En particulier, on ne sait pas forger un fichier donné pour lui donner une empreinte particulière. Donc les failles de MD5 sont à ce jour inexploitable pour ce qui est de distribuer incognito (càd sans modification de leur MD5) des programmes backdoorés ou ce genre de choses. Bref, ça n'est pas franchement un risque de sécurité pour les distribs, et comme ça fait bien son boulot pour ce qui est de vérifier qu'il n'y a pas eu d'erreur de téléchargement, y'a pas vraiment d'urgence à changer.
> Est-ce que l'utilisation du PGP dans portage est une réponse à ce problème ?
Non, justement.
Le problème que ça règle (règlera), c'est le cas où un mirroir serait compromis. Actuellement, si un méchant bidouille des ebuilds et regénère le bon digest pour aller avec, il passera inaperçu. Pas besoin de casser du MD5 pour ça... Le but d'une utilisation de GPG là dedans, c'est justement de signer ces digests, pour que leur remplacement par le méchant ne passe plus inaperçue, et que donc du coup il ne puisse plus dissimuler ses modifications sur les ebuilds.
Quand ça sera fait, la seule solution qui restera à notre méchant sera justement de faire ses trucs dans les fichiers sans pour autant en modifier les empreintes, pour que le digest signé reste valide. Mais là, même avec de simples MD5, il faudra qu'il s'accroche, pour les raisons exposées plus haut.
[^] # Re: et les distribs?
Posté par tgl . En réponse à la dépêche SHA-1 aurait été cassé. Évalué à 9.
> n'ont pas changé de système de hachage ?
Le MD5 est "cassé", mais pas n'importe comment non plus. En particulier, on ne sait pas forger un fichier donné pour lui donner une empreinte particulière. Donc les failles de MD5 sont à ce jour inexploitable pour ce qui est de distribuer incognito (càd sans modification de leur MD5) des programmes backdoorés ou ce genre de choses. Bref, ça n'est pas franchement un risque de sécurité pour les distribs, et comme ça fait bien son boulot pour ce qui est de vérifier qu'il n'y a pas eu d'erreur de téléchargement, y'a pas vraiment d'urgence à changer.
> Est-ce que l'utilisation du PGP dans portage est une réponse à ce problème ?
Non, justement.
Le problème que ça règle (règlera), c'est le cas où un mirroir serait compromis. Actuellement, si un méchant bidouille des ebuilds et regénère le bon digest pour aller avec, il passera inaperçu. Pas besoin de casser du MD5 pour ça... Le but d'une utilisation de GPG là dedans, c'est justement de signer ces digests, pour que leur remplacement par le méchant ne passe plus inaperçue, et que donc du coup il ne puisse plus dissimuler ses modifications sur les ebuilds.
Quand ça sera fait, la seule solution qui restera à notre méchant sera justement de faire ses trucs dans les fichiers sans pour autant en modifier les empreintes, pour que le digest signé reste valide. Mais là, même avec de simples MD5, il faudra qu'il s'accroche, pour les raisons exposées plus haut.