⬇ Scarica il santino: ·
San SHAmbles, che falsificò le firme con SHA-1
Patrono delle firme digitali che si ostinano con SHA-1, delle collisioni a prefisso scelto e di chi non ha ancora cambiato algoritmo.
Vita
Il 25 novembre 2019 Gaëtan Leurent e Thomas Peyrin presentarono SHAmbles, la prima collisione a prefisso scelto pratica su SHA-1: potevano costruire due documenti con contenuti diversi ma stessa impronta SHA-1, a un costo ormai accessibile. Lo dimostrarono falsificando firme PGP e creando chiavi GnuPG contraffatte. GnuPG corresse rifiutando le firme SHA-1 problematiche dalla versione 2.2.18 (CVE-2019-14855).
Preghiera
O San SHAmbles, che dai la stessa impronta a documenti diversi, fa' che le nostre firme abbandonino SHA-1 una volta per tutte. Amen.
Come si festeggia
Si festeggia aggiornando GnuPG oltre la 2.2.18 e migrando le firme a SHA-256 e oltre.
Due carte, una sola impronta: fidarsi è un azzardo.