Nesen ziņa tika izlaista Fedora projekta izstrādātāji, un viņi to darīja zināmu plāns atspējot atbalstu SHA-1 ciparparakstiem par "Fedora Linux 39" izlaišanu.
Tiek minēts, ka parakstu atspējošanas plāns paredz likvidēt uzticību parakstiem, kas izmanto SHA-1 jaucējus (SHA-224 tiks deklarēts kā minimālais atļautais ciparparakstos), bet saglabājot HMAC atbalstu ar SHA-1 un nodrošinot iespēju iespējot LEGACY profilu ar SHA-1.
Galvenais iemesls, kāpēc Fedora izstrādātāji ir nonākuši pie šāda secinājuma, ir uz SHA-1 balstītu parakstu atbalsta beigas. ir saistīts ar sadursmes uzbrukumu efektivitātes palielināšanos ar doto prefiksu (sadursmes izvēles izmaksas tiek lēstas vairākos desmitos tūkstošu dolāru). Papildus pārlūkprogrammām sertifikāti, kas autentificēti, izmantojot SHA-1 algoritmu, kopš 2016. gada vidus ir atzīmēti kā nedroši.
Galvenās izmaiņas šoreiz būs neuzticēšanās SHA-1 parakstiem.
kriptogrāfijas bibliotēkas līmenī, kas ietekmē ne tikai TLS.OpenSSL pēc noklusējuma sāks bloķēt parakstu izveidi un verifikāciju,
ar paredzamajiem nokrišņiem, kas būs pietiekami daudz
lai mēs ieviestu izmaiņas vairākos ciklos
ar vairākiem paziņojumiem
lai izstrādātājiem un uzturētājiem būtu pietiekami daudz laika reaģēt.
Ir vērts pieminēt, ka pēc aprakstīto izmaiņu piemērošanas OpenSSL bibliotēka pēc noklusējuma bloķēs parakstu ģenerēšanu un pārbaudi ar SHA-1.
Deaktivizēšanu plānots veikt vairākos posmos, tāpat kā Fedora Linux 36 un 37 laidienos, uz SHA-1 balstītie paraksti tiks noņemti no politikas "FUTURE", kā arī es plānoju nodrošināt testa politiku TEST-FEDORA39, lai pēc lietotāja pieprasījuma atspējotu SHA-1 (atjaunināt -kriptopolitikas - iestatīt TEST-FEDORA39), veidojot un pārbaudot SHA-1 balstītus parakstus, žurnālā tiks parādīti brīdinājumi.
Fedora 39 politikas TLS perspektīvā būs šādas:
Mantojums
MAC: visi HMAC ar SHA1 vai augstāku + visi mūsdienu MAC (Poly1305 utt.)
Līknes: visi pirmskaitļi >= 255 biti (ieskaitot Bernsteina līknes)
Paraksta algoritmi: SHA-1 jaukšana vai labāka (bez DSA)
Šifri: visi pieejamie > 112 bitu atslēga, >= 128 bitu bloks (nav RC4 vai 3DES)
Atslēgu maiņa: ECDHE, RSA, DHE (bez DHE-DSS)
DH parametra lielums: >=2048
RSA parametra lielums: >=2048
TLS protokoli: TLS >= 1.2
Pēc tam Fedora Linux 38 pirmsbeta laidiena laikā krātuvei būs politika pret SHA-1 parakstiem, taču šīs izmaiņas neattieksies uz Fedora Linux 38 beta versiju un laidienu. Izlaižot Fedora Linux 39, SHA-1 paraksta novecošanas politika tiks piemērota pēc noklusējuma.
Piedāvāto plānu FESCo vēl nav izskatījis (Fedora Engineering Steering Committee), kas ir atbildīga par Fedora izplatīšanas izstrādes tehnisko daļu.
Turklāt, Ir arī vērts piebilst, ka Red Hat ir brīdināts par atbalsta beigām GTK 2 bibliotēkai, sākot ar nākamo Red Hat Enterprise Linux filiāli.
Gtk2 pakotne netiks iekļauta RHEL 10 laidienā, kas atbalstīs tikai GTK 3 un GTK 4. GTK 2 tika noņemts, jo rīkkopa bija novecojusi un netika atbalstītas modernās tehnoloģijas, piemēram, Wayland, HiDPI un HDR.
Rīku komplekts mums bija pateicīgs, taču tas sāk parādīt savu vecumu attiecībā uz modernajām tehnoloģijām, piemēram, Wayland, HiDPI displejiem, HDR un citām.
Paredzams, ka programmām, kas joprojām ir saistītas ar GTK 2, piemēram, GIMP un Ardour, būs laiks migrēt uz jaunām GTK filiālēm līdz 2025. gadam, kurā ir paredzēts izlaist RHEL 10. Ubuntu versijā 22.04 504 pakotnes izmanto libgtk2 kā atkarību.
Iemesls tam ir tāds, ka šādas izmaiņas tiek ieviestas arī dažās nākamajās Fedora versijās.
Beidzot ja jūs interesē uzzināt vairāk par to Plašāku informāciju par parakstu atspējošanas plānotajām izmaiņām varat skatīt sadaļā šī saite.