Utvecklare har skickat in patchar till Linux-kärnan för att eliminera stöd för den osäkra SHA-1-hashningsalgoritmen vid signering av kärnmoduler. Detta drag åtgärdar kända sårbarheter som kollisionsattacker demonstrerade 2017. Förändringarna bygger på tidigare insatser för att förbättra kärnans säkerhet.
Linux-kärnans community avancerar säkerheten genom att föreslå patchar för att fasa ut stöd för SHA-1 vid signering av kärnmoduler. Petr Pavlu, författaren till patcharna, postade serien till Linux-kärnans meilinglista denna vecka, enligt rapporter från Phoronix. Pavlu uppgav: “SHA-1 betraktas som föråldrad och osäker på grund av sårbarheter som kan leda till hashkollisioner.”
Detta initiativ följer år av varningar om SHA-1:s svagheter, särskilt efter att forskare visade praktiska kollisionsattacker 2017. Ett tidigare försök att ta bort stöd för SHA-1 via commit 16ab7cb5825f återställdes på grund av kompatibilitetsproblem med verktyg som iwd. I fjol skiftade standardalgoritmen för signering till SHA-512 i commit f3b93547b91a utan större problem, vilket banade väg för fullständig deprecation.
Patcharna består av två huvudändringar. Den första modifierar kärnans modulk Kconfig för att ta bort SHA-1-alternativ, med hänvisning till det tidigare återställda committet. Den andra riktar sig mot verktyget sign-file och eliminerar stöd för PKCS#7, som var begränsat till SHA-1. James Bottomley klargjorde i ett svar på meilinglistan: “CMS är verkligen *PKCS7 och de flesta litteraturer hänvisar till CMS som PKCS7,” och noterade att uppdateringen deprecifierar en föråldrad API.
De flesta stora Linux-distributioner har redan antagit SHA-2 för modulsignering. Android ligger dock efter och använder SHA-1 som standard för sin Generic Kernel Image (GKI). Sami noterade på meilinglistan: “Sammantaget förlitar sig inte Android på modulsignering för säkerhet, det används bara för att skilja mellan modultyper.” Patcharna fokuserar på att sluta använda SHA-1 för nya signaturer samtidigt som befintliga tillåts laddas.
Implementeringen möter mindre hinder, inklusive en konflikt med en pågående serie för ML-DSA-stöd. Pavlu erkände: “Den andra patchen har en mindre konflikt med sign-file-uppdateringen i serien ‘lib/crypto: Add ML-DSA’.” Communityns reaktioner på plattformar som X har varit positiva, med Phoronix som tillkännagav: “Linux siktar på att ta bort SHA1-stöd för signering av kärnmoduler. Dags att flytta till säkrare hashningsalgoritmer.” Dessa förändringar syftar till att stärka säkerheten i miljöer som servrar och inbäddade system genom att minska risken för förfalskade signaturer.