Обновление алгоритмов шифрования для зависимостей Swift

Во-первых, это зависит от того, почему они используют эти алгоритмы. Для определенных целей MD5 или SHA-1 не вызывают проблем с безопасностью, и они могут быть необходимы для совместимости с существующими стандартами или обратной совместимости.

Например, PBKDF2 абсолютно безопасен, используя SHA-1 в качестве хэша. Ему не требуется очень сильная хэш-функция для обеспечения собственной безопасности. Это даже безопасно с использованием MD5. Переход на SHA-2 с PBKDF2 не повышает безопасность, это просто «гигиена безопасности», то есть «избегайте алгоритмов, у которых есть известные проблемы, даже если они находятся в вашем коде, даже если они не вызывают проблем в вашем конкретном случае использования». Гигиена безопасности — это хорошая практика, но это не то же самое, что безопасность.

Для других случаев использования безопасность хеш-функции имеет решающее значение. Если фреймворк аутентифицирует произвольные сообщения с помощью MD5, это полностью не работает. Не принимайте этот ответ, чтобы предположить, что алгоритмы не имеют значения. Они делают! Но не в каждом случае использования. И если вы хотите декодировать транзакции считывания кредитной карты, вам, вероятно, потребуется, чтобы DES был в вашем коде, который сломан ужасно, но он вам все равно понадобится, потому что именно так шифруются магнитные полосы. Это не делает ваш фреймворк «небезопасным».

Когда вы говорите «но они, кажется, настаивают на использовании устаревших алгоритмов», я предполагаю, что вы имеете в виду, что вы открыли PR, и они отклонили его, и в этом случае я предполагаю, что у них есть веская причина (например, обратная совместимость, когда нет реальной проблемы безопасности). ). Если нет, то, очевидно, первым шагом будет открытие PR.

Тем не менее, если вы хотите изменить это, потому что чувствуете, что существует реальная проблема безопасности, которую они не решат, или просто из соображений гигиены, то с CocoaPods вы должны разветвить проект, изменить его и указать на свою собственную версию, используя атрибут source для ключевое слово pod.

Поддерживая сам криптографический фреймворк, я часто получаю отчеты об ошибках, которые просто неверны от разработчиков, использующих эти сканеры. Убедитесь, что вы знаете, что сканер говорит вам и как оценивать результаты. Ложные срабатывания очень распространены с ними. Эти инструменты полезны, но вам нужно иметь некоторый опыт, чтобы читать их отчеты.