Problemi di sicurezza MD5 nella verifica del download

Question

Problemi di sicurezza MD5 nella verifica del download

#1 da (1 voti)

3

L'algoritmo di hashing MD5 è noto per essere vulnerabile alle collisioni per un certo numero di anni, vedi la sua voce su Wikipedia . Tuttavia, vedo che in molti punti del web, MD5 viene utilizzato per verificare l'integrità del download, ad es. le immagini di Ubuntu . La descrizione della caratteristica di CMake ExternalData() C dice anche:

Note that the hashes are used only for unique data identification and download verification. This is not security software.

Sembra che un utente malintenzionato possa aggiungere dati dannosi a un download e aggiungerne altri per provocare una collisione dell'hash.

Perché i problemi di sicurezza relativi a MD5 non influiscono sulla sua popolarità come verifica del download? Perché lo SHA1 (o algoritmi altrettanto sicuri) non diventa lo standard?

md5 integrity

posta Nico Schlömer 05.08.2014 - 16:28

fonte

1 risposta

Leggi altre domande sui tag md5 integrity

La creazione di un'app di pagamento NFC senza un elemento sicuro come Apple Pay è fondamentalmente insicura? Come deve essere configurato IPSec per fornire una protezione almeno equivalente alla mia attuale configurazione Stunnel?

score 1 · Answer 1

Preferisco la risposta ai commenti di CIC, ma il modo in cui l'ho sempre visto è che le collisioni non sono sempre utili.

Forse due stringhe di testo possono avere una collisione e se si inseriscono in un campo di immissione della password, questo è un problema.

Ma quali sono le probabilità del codice utile , che funziona davvero, essendo iniettato in un altro programma e generando lo stesso checksum? Probabilmente assurdamente piccolo.

Avresti bisogno di un computer miracoloso per prendere il software legit + il codice dannoso e capire quale tipo di dati spazzatura deve essere aggiunto al file per creare lo stesso checksum e dimensione file e tutto il resto.

Questo naturalmente presuppone che l'hash sia resistente alle preimage. Il computer delle meraviglie è qualcosa che non solo rende fattibile l'infallibile, ma trova anche una collisione che ha sia un software legit legittimo che un codice dannoso.

Quindi, a tale riguardo, non è un problema di sicurezza.