SGCG

…esto no es un subtítulo…

Ir a: contenido categorías calendario archivo suscripción

Volver arriba

Git no está roto pese a las colisiones de SHA-1 (2)

2017-02-28

La semana pasada apareció la noticia del primer ataque práctico al algoritmo SHA-1. Además de otros obvios y desde hace un tiempo desaconsejados usos, SHA-1 es utilizado por el popular sistema de control de versiones Git. Ayer explicamos que el ataque tiene un impacto esencialmente nulo en Git. Hoy le damos una vuelta al asunto.

Un posible ataque podría consistir en lo siguiente: un individuo malicioso con control sobre un repositorio puede (y esto ya es bastante suponer) crear dos versiones del mismo, una inocua y otra dañina, ambas con el mismo identificador SHA-1 en el último estado; el individuo malicioso puede ofrecer una versión u otra del repositorio a voluntad. El ofrecer dos versiones del repositorio es eficaz si las víctimas que no sospechan nada reciben la versión dañina y cualquier investigador de seguridad recibe la versión inocua. Si las víctimas y los investigadores se limitan a fijarse en el identificador SHA-1, pueden pensar que están trabajando con el mismo material y, dado que el investigador de seguridad ve la versión inocua, nadie informará a la víctima de que tiene en sus manos una versión dañina. Este ataque, además de rebuscado, asume que la única manera de identificar el estado del repositorio es el identificador SHA-1 y que el atacante va a discriminar a la perfección a sus víctimas. Por lo demás, solamente añade cierta sofisticación a lo que ya puede hacer un individuo malicioso con control sobre un repositorio; lo complicado y costoso del ataque apenas dificulta ligeramente la detección, como hemos visto.


Categorías: Actualidad, Informática

Permalink: http://sgcg.es/articulos/2017/02/28/git-no-esta-roto-pese-a-las-colisiones-de-sha-1-2/