Petr Pavlu, a SUSE munkatársa egy két részből álló patch sorozatot küldött be, amely eltávolítja az SHA-1 algoritmus támogatását a kernel modulok aláírásából. A patch szorosan kapcsolódik a kernel modulkezelésének biztonságosabbá tételéhez, mivel az SHA-1 már régóta elavultnak és sebezhetőnek számít A javaslat igazodik azon trendhez, amely célul tűzte ki a már elavult kriptográfiai mechanizmusok kivezetését a nyílt forráskódú szoftverekből, ezzel védve a felhasználókat a potenciális sérülékenységekkel szemben.
Tartalomjegyzék
A kivezetés indoklása
A szakértők már régóta foglalkoznak az SHA-1 hash algoritmus fokozatos kivezetésével, mivel ismert sebezhetőségei lehetővé teszik hash ütközések létrehozását, ami veszélyeztetheti a kernel modulok hitelességének és integritásának ellenőrzését. A legtöbb jelentős Linux disztribúció már jó ideje átállt az SHA-2 családra, ideértve az SHA-256-ot és az SHA-512-t, hogy csökkentsék ezeket a kockázatokat. Körülbelül egy éve, a kernel egyik frissítésekor az alapértelmezett modul-aláírási módszert SHA-1-ről SHA-512-re cserélték, és ez a módosítás nem okozott számottevő problémákat a fejlesztői közösség körében.
Ez arra utal, hogy a Linux közösség készen áll a teljes átállásra. Petr Pavlu kiemelte, hogy a disztribúciók konfigurációinak elemzése alapján egyedül az Android ragaszkodik még mindig az SHA-1-hez, ezért közvetlenül megkereste Sami Tolvanent, a Google munkatársát, hogy tisztázza, van-e ennek valamilyen speciális oka.
A fejlesztések következményei
A kétrészes patch az első része eltávolítja az SHA-1 támogatást a kernel modul konfigurációjából, módosítva a Kconfig fájlt, míg a második a sign-file szkriptből veszi ki a PKCS#7 aláírási támogatást, ami szorosan kapcsolódik az SHA-1-hez. A módosítások néhány tucat sort érintenek, de jelentős biztonsági előnyöket hoznak, mivel kizárják a sebezhető algoritmusok használatát. Petr Pavlu megjegyezte, hogy a második patch regressziót okozhat egy másik folyamatban lévő frissítésben, amely az ML-DSA aláírást vezeti be, de ez a probléma könnyedén orvosolható.
