Git 3.0 ile gelecek SHA-256 varsayılanı ekosistemde uyumluluk sorunlarına yol açabilir

Git ekosistemi, sürüm 3.0 ile birlikte varsayılan özetleme algoritmasını SHA-1'den SHA-256'ya taşımaya hazırlanıyor. Yayımlanan teknik değerlendirmeye göre bu geçiş, teorik çarpışma saldırılarına karşı pratik bir koruma sağlamazken yazılım dünyasında geniş çaplı uyumsuzluk riskleri barındırıyor. Git içerik adreslenebilir bir veritabanı yapısıyla çalışıyor ve güven mekanizmasını yalnızca özet değerleri üzerinden kurmuyor.

Yeni varsayılan devreye girdiğinde, SHA-256 ile başlatılan yerel depolar GitHub gibi barındırma platformlarına gönderilirken doğrudan format çakışmaları yaşanabilecek. 40 karakterlik SHA-1 özetlerine bağımlı çalışan harici kütüphaneler, izleme betikleri, bağlantılar ve git alt modülleri iki format arasında uyumsuzlukla karşı karşıya kalacak. Google gibi büyük kuruluşların bile iç sistemlerinde SHA-1 yapılandırmasını zorunlu tutarak geçişi geciktirme planları yaptığı aktarılıyor.

Gerçek dünyadaki saldırıların karmaşık kriptografik çarpışmalar yerine sosyal mühendislik ve zayıf paket yöneticisi denetimleri üzerinden gerçekleştiği hatırlatılıyor. Kriptografik güven ile içerik bütünlüğünün birbirinden ayrılması gerektiği savunulurken, tüm projeleri taşımak yerine sürümleri ve etiketleri harici modern özetlerle imzalayan hibrit yaklaşımlar alternatif çözüm olarak öneriliyor.