Git 3.0 переходит на SHA-256: дорогостоящая ошибка, которая никому не нужна
Git 3.0's upcoming SHA-256 default will be a costly mistake
Автор утверждает, что переход Git 3.0 на SHA-256 по умолчанию — огромная и затратная ошибка. SHA-1 остаётся достаточно надёжным: случайные коллизии практически невозможны, а реальные атаки через коллизии требуют огромных ресурсов и легко предотвращаются обычными методами — подписью коммитов и доверием к источнику. Смена хеша не решает реальных проблем безопасности, но заставит всю индустрию потратить время и силы впустую.
Я действительно считаю, что людям не стоит рассматривать sha1 как «безопасность». Настоящая безопасность — в распространении.