開発者たちは、Linux カーネルにパッチを提出し、カーネルモジュールの署名における不安定な SHA-1 ハッシングアルゴリズムのサポートを排除する。 この措置は、2017年に実証された衝突攻撃などの既知の脆弱性を対処する。 これらの変更は、カーネルセキュリティを強化するための以前の取り組みに基づいている。
Linux カーネルコミュニティは、セキュリティを向上させるために、カーネルモジュールの署名に対する SHA-1 サポートを段階的に廃止するパッチを提案している。パッチの著者である Petr Pavlu は、今週 Linux カーネルメーリングリストにこのシリーズを投稿したと Phoronix が報じた。Pavlu は次のように述べた：「SHA-1 は、ハッシュ衝突を引き起こす可能性のある脆弱性により、廃止され不安定と見なされている。」
このイニシアチブは、SHA-1 の弱点に関する数年間の警告に続くもので、特に研究者たちが 2017 年に実用的な衝突攻撃を実証した後である。SHA-1 サポートを削除するための以前の試みである commit 16ab7cb5825f は、iwd などのツールとの互換性問題により取り消された。昨年、デフォルトの署名アルゴリズムは commit f3b93547b91a で SHA-512 に移行し、大きな問題なく完全な廃止の基盤を築いた。
パッチは 2 つの主な変更からなる。最初のものは、カーネルのモジュール Kconfig を変更して SHA-1 オプションを削除し、以前の取り消された commit を参照する。2 番目は sign-file ユーティリティを対象とし、SHA-1 に限定されていた PKCS#7 サポートを排除する。James Bottomley はメーリングリストの応答で次のように明確にした：「CMS は本当に *PKCS7 であり、ほとんどの文献で CMS を PKCS7 と呼ぶ」，この更新が古い API を廃止することを指摘した。
主要な Linux ディストリビューションのほとんどは、すでにモジュール署名に SHA-2 を採用している。しかし、Android は遅れをとっており、デフォルトで Generic Kernel Image (GKI) に SHA-1 を使用している。Sami はメーリングリストで次のように述べた：「全体として、Android はセキュリティのためにモジュール署名に依存しておらず、モジュールタイプを区別するためにのみ使用される。」パッチは新しい署名に対する SHA-1 の廃止に焦点を当て、既存のものをロードできるようにする。
実装には小さな障害があり、ML-DSA サポートのための進行中のシリーズとの競合が含まれる。Pavlu は次のように認めた：「2 番目のパッチは、‘lib/crypto: Add ML-DSA’ シリーズの sign-file 更新と軽微な競合がある。」X などのプラットフォームでのコミュニティの反応は肯定的で、Phoronix は次のように発表した：「Linux がカーネルモジュールの署名のための SHA1 サポートを削除へ。より安全なハッシングアルゴリズムに移行する時だ。」これらの変更は、サーバーや組み込みシステムなどの環境でセキュリティを強化し、偽造署名のリスクを低減することを目的としている。