Git 3.0 要把 SHA-1 換成 SHA-256為什么有人把它比作「又一個(gè) IPv6」GitButler 的創(chuàng)始人 Scott Chacon 前幾天寫(xiě)了一篇博客標(biāo)題直接把結(jié)論擺在臉上Git 3.0’s upcoming SHA-256 default will be a costly mistake。Hacker News 的討論帖 半天沖到 359 分、342 條評(píng)論。Chacon 不是外人。他是《Pro Git》的作者日常做的就是 Git 客戶端。他一開(kāi)口說(shuō)「這是個(gè)代價(jià)高昂的錯(cuò)誤」評(píng)論區(qū)立刻分成兩派。但真正值得看的不是誰(shuí)嗓門大而是這場(chǎng)爭(zhēng)論把一個(gè)老問(wèn)題重新擺到了臺(tái)面上當(dāng)一個(gè)系統(tǒng)的標(biāo)識(shí)符變成了所有人依賴的不可變契約換掉它到底是一次升級(jí)還是一場(chǎng)生態(tài)拆遷先說(shuō)清楚 Git 為什么要換Git 本質(zhì)上是一個(gè)內(nèi)容尋址的文件系統(tǒng)。文件、目錄、提交全部用哈希值而不是遞增序號(hào)來(lái)命名。Git 官方文檔寫(xiě)得很直白用哈希尋址好處是完整性校驗(yàn)極其簡(jiǎn)單——哪怕只有一個(gè) bit 翻轉(zhuǎn)算出來(lái)的哈希對(duì)不上名字當(dāng)場(chǎng)暴露。問(wèn)題是哈希算法本身會(huì)老。2017 年 2 月 23 日SHAttered 攻擊演示了第一個(gè)真實(shí)的 SHA-1 碰撞兩份內(nèi)容不同、哈希相同的 PDF。Git 從 v2.13.0 起默認(rèn)換成硬化版 SHA-1躲開(kāi)了那次攻擊但官方文檔的口徑依然謹(jǐn)慎——沒(méi)人能保證以后不出現(xiàn)新的、并且沒(méi)有緩解方案的攻擊。所以把默認(rèn)哈希從 SHA-1 換成 SHA-256被寫(xiě)進(jìn)了 Git 3.0 的計(jì)劃。爭(zhēng)議一碰撞攻擊到底算不算威脅Chacon 的核心論點(diǎn)之一是Git 里真正的威脅是「第二原像攻擊」而不是「碰撞攻擊」。這兩種攻擊確實(shí)不是一回事。碰撞攻擊是主動(dòng)造出一對(duì)文件讓它們哈希相同第二原像攻擊是拿到一份已知文件硬湊出另一份哈希也相同的文件——后者難得多。他的理由是 Git 對(duì)象在哈希前會(huì)帶一個(gè)頭部類似blob 1234\0攻擊者沒(méi)法直接復(fù)用公開(kāi)的碰撞樣本成本會(huì)被推高。這條立刻被頂?shù)搅税袷?。一位用戶列出三點(diǎn)反駁其中第二點(diǎn)最要命碰撞攻擊在 Git 里完全夠用。場(chǎng)景是兩個(gè)倉(cāng)庫(kù)引用同一個(gè)提交哈希但檢出后的代碼內(nèi)容不同——這就是代碼走私而校驗(yàn)哈希根本沒(méi)有意義因?yàn)樗鼈兇_實(shí)一模一樣。評(píng)論區(qū)另一位補(bǔ)了一刀在一個(gè)人人都會(huì)對(duì)陌生人的 PR 執(zhí)行g(shù)it fetch的世界里「只要你 fetch 了就已經(jīng)中招」不能當(dāng)成安全邊界。爭(zhēng)議二真正的難點(diǎn)在密碼學(xué)之外比起密碼學(xué)細(xì)節(jié)遷移工程才是這場(chǎng)爭(zhēng)論真正的火藥桶。Git 官方文檔里其實(shí)已經(jīng)寫(xiě)了一套相當(dāng)克制的方案新舊命名可以并存老提交用 SHA-1 名字依然有效維護(hù)一張 SHA-1 與 SHA-256 的雙向映射表并且刻意做成一一對(duì)應(yīng)這樣換算是可逆的、能按需重算不必把所有對(duì)象重新哈希一遍。但一一對(duì)應(yīng)也帶來(lái)了硬約束。文檔明確寫(xiě)著不允許混合倉(cāng)庫(kù)子模塊必須和父?jìng)}庫(kù)使用同一種算法。再疊上現(xiàn)實(shí)一層——GitHub 目前根本不支持 SHA-256 倉(cāng)庫(kù)的 push而這正是拖住 3.0 的主要原因之一。對(duì)照之下有一組數(shù)據(jù)特別刺眼。Fossil SCMSQLite 團(tuán)隊(duì)做的版本控制系統(tǒng)在 SHAttered 公布后第 6 天——2017 年 3 月 1 日——就加上了 SHA3-256 選項(xiàng)如今新倉(cāng)庫(kù)全部默認(rèn)。更關(guān)鍵的是沒(méi)有倉(cāng)庫(kù)被重建也沒(méi)有超鏈接失效。一邊是 6 天一邊是從 2017 年談到今天的多年規(guī)劃。差距不在密碼學(xué)在生態(tài)規(guī)模。替代方案和一條更值得記的批評(píng)Chacon 提了一個(gè)有意思的想法獨(dú)立樹(shù)哈希頭。不改尋址方式而是用另一種算法獨(dú)立地把樹(shù)內(nèi)容再算一遍哈希把兩個(gè)哈希一起簽名——SHA-1 負(fù)責(zé)檢索內(nèi)容SHA-256 負(fù)責(zé)獨(dú)立驗(yàn)證內(nèi)容。評(píng)論區(qū)有人覺(jué)得這個(gè)方向值得深挖也有人反駁說(shuō)它并不能真正替代格式層面的遷移。支持「該換」的聲音里同樣有一條批評(píng)非常值得記如果你只是把 SHA-1 換成 SHA-256那你遲早還得再換一次。真正的問(wèn)題不是這次選哪個(gè)哈希而是 Git 的設(shè)計(jì)壓根沒(méi)給「加密敏捷性」crypto agility留位置——算法被硬編碼進(jìn)了對(duì)象格式換一次就要?jiǎng)诱麄€(gè)生態(tài)。也有讀者站出來(lái)為換默認(rèn)辯護(hù)2024 年給一個(gè)隨機(jī)的 SHA-1 哈希找一個(gè)碰撞成本大約只有一萬(wàn)美元。對(duì)大多數(shù)威脅模型來(lái)說(shuō)這等于不可行但它攔不住規(guī)模繼續(xù)擴(kuò)大——今天不換將來(lái)就是明擺著的坑。順帶一提還有一條容易被忽略的實(shí)用視角真有組織是因?yàn)楹弦?guī)要求才推這件事。SHA-1 在 FIPS 140-2 一類認(rèn)證里被明確不推薦某些機(jī)構(gòu)甚至一刀切禁用。這也解釋了為什么「Git 里哈希不是安全特性」這個(gè)技術(shù)判斷并不能讓遷移停下來(lái)。一個(gè)判斷這場(chǎng)爭(zhēng)論表面在吵「SHA-1 還安不安全」實(shí)質(zhì)在吵一個(gè)更難的工程問(wèn)題當(dāng)系統(tǒng)的標(biāo)識(shí)符變成了對(duì)外契約算法升級(jí)就不再是本地重構(gòu)而是分布式系統(tǒng)的一致性遷移。Git 的對(duì)象名會(huì)被寫(xiě)進(jìn)提交信息、CI 腳本、部署記錄、issue 評(píng)論。有人舉了個(gè)很實(shí)在的例子遷移之后所有寫(xiě)著「see commit abc1234」的歷史提交信息全部失效。這不是安全問(wèn)題這是引用語(yǔ)義被改掉了。對(duì)開(kāi)發(fā)者的啟示其實(shí)很樸素設(shè)計(jì)任何 ID schema不只是版本控制系統(tǒng)也包括數(shù)據(jù)庫(kù)主鍵、內(nèi)容尋址存儲(chǔ)、緩存鍵時(shí)把算法版本位留出來(lái)。一代人換一次的東西值得在格式里預(yù)留一個(gè)版本號(hào)而不是等到下一次被迫全量遷移。至于這場(chǎng)爭(zhēng)論本身值不值得信——與其只讀博客和評(píng)論區(qū)不如自己拿一套固定的對(duì)照測(cè)試跑一遍如果需要在多個(gè)模型或工具之間做這種橫向?qū)Ρ萳ikeai520.cc 這類 API 中轉(zhuǎn)可以省掉一部分逐家接入和驗(yàn)證的工作。能跑、能對(duì)比、能被驗(yàn)證的結(jié)論才值得寫(xiě)進(jìn)你的技術(shù)選型。主要參考GitButler 原文、Hacker News 討論帖id49924179、Git 官方 hash-function-transition 文檔、SHAttered 攻擊、Fossil SCM 遷移記錄