Git é um banco de dados endereçável por conteúdo que usa funções de hash como chaves para armazenar o conteúdo dos arquivos. Por duas décadas, o Git confiou no SHA-1, o algoritmo que Linus Torvalds selecionou em 2005. O SHA-1 produz uma saída de 160 bits, tornando colisões acidentais matematicamente improváveis, com aproximadamente 1,4 septilhão de arquivos necessários para acionar uma.
No entanto, criptógrafos publicaram ataques de colisão, sendo os mais notáveis SHAttered em 2017 e SHA-1 is a Shambles em 2020. Embora as colisões acidentais permaneçam praticamente impossíveis, esses ataques demonstram que colisões intencionais são teoricamente possíveis, embora caras. Em resposta, o próximo lançamento do Git 3.0 planeja mudar o algoritmo de hash padrão de SHA-1 para o mais forte SHA-256.
Essa transição exigirá que os desenvolvedores atualizem os repositórios e ferramentas existentes, representando um esforço global significativo para uma mudança que oferece benefícios de segurança práticos marginais para a maioria dos usuários. Essa migração representa um empreendimento global caro com pouco valor tangível para o desenvolvedor médio.
Fonte: Hacker News · Resumido por HeadlinesBriefing