SHA1 碰撞攻击的第一位受害者： WebKit 版本控制系统

[gamexg]

http://www.solidot.org/story?sid=51489

不知道有人发过了吗？

[wql]

SVN 已经出这种事了，感觉 Git 可能也会出事……

[mooncakejs]

@wql linus 已经说过不会了

[Cbdy]

http://marc.info/?l=git&m=148787047422954

[wql]

@mooncakejs 但有一部分人是那些拿 SVN 协议操作 Git 库的人，可能会发现自己文件出错了……
自己刚刚试了下的确是这样子。
https://github.com/WangQiliang/shattered/blob/master/shattered-1-svn.pdf
https://github.com/WangQiliang/shattered/blob/master/shattered-2-svn.pdf

[forcecharlie]

@wql 文件不能共存在 git 仓库中 其他问题到没有

[uxstone]

所以加速淘汰 SVN?

[keinx]

SHA1 攻破我觉得影响有限，我每次下载文件的时候对比的是 sha1 和 md5 两个，我觉得不同文件 md5 和 sha1 同时相同的可能性太小了。

[enenaaa]

svn 是封闭的， 将搞事者干掉即可。

[forcecharlie]

git 的 sha1 实际上是 文件类型（ blob commit tree ）+空格 +文件长度 +NUL+文件内容 然后 hash ，按照谷歌的 sha1 攻击方案不太好弄，其他的就不知道了。

[gamexg]

@keinx https 证书高风险。 chrome 好像是 4 月就会直接对 sha1 签名的证书报不安全。

大体看了几个网站，都是 sha256 的。
根证书好像都是 sha1 ，不过这个应该没问题，都是浏览器内置的。