déjà, pour avoir un fichier avec la même somme md5 qui soit réellement un tar.gz, ca doit être très très très dur...
C'est fait ici pour des archives autoextractibles : http://eprint.iacr.org/2004/356
Et je suppose que ça pourrait être transposé très facilement aux targz vu que tar ignore les données consécutives à celles qu'il est censé traité.
Le papier présente aussi un schéma d'attaque. En résumé :
Le méchant qui veut détruire le monde crée un programme indispensable et le distribue avec à la fin un padding qui permet une collision.
Le code est audité par Théo de Raadt, Bruce Schneier et Superman, tout va bien.
Le méchant dit à son ftp de publier une version qui installe un ver quand c'est un packageur ou un système de build qui la télécharge (en ayant une liste d'IPs ou avec l'user agent).
Il détruit le monde.
[^] # Re: Rapport avec la faiblesse de MD5?
Posté par un_brice (site web personnel) . En réponse au journal SquirrelMail compromis. Évalué à 1.
C'est fait ici pour des archives autoextractibles : http://eprint.iacr.org/2004/356
Et je suppose que ça pourrait être transposé très facilement aux targz vu que tar ignore les données consécutives à celles qu'il est censé traité.
Le papier présente aussi un schéma d'attaque. En résumé :
Le méchant qui veut détruire le monde crée un programme indispensable et le distribue avec à la fin un padding qui permet une collision.
Le code est audité par Théo de Raadt, Bruce Schneier et Superman, tout va bien.
Le méchant dit à son ftp de publier une version qui installe un ver quand c'est un packageur ou un système de build qui la télécharge (en ayant une liste d'IPs ou avec l'user agent).
Il détruit le monde.