<div dir="ltr"><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex"><span style="font-size:12.8000001907349px">Use of MD5 is indeed a big ? and totally unnecessary --- risk. While you are correct that a collision attack requires some ability to modify the original file, that is hardly an insurmountable obstacle. All an attacker has to do is inject some random bits in the target, say by modifying an included icon. A member of the team could be a mole or suborned by bribery or blackmail. Or malware could modify the tool chain in a way that injects the required bits at the last minute. While such ability would allow other attacks, there are many reasons why an attacker might want hacked and clean versions of the same program.</span><br></blockquote><div><br></div>For software fingerprints, fuzzy hashes are better.<div><br></div><div>And it depends on whether you're using a whitelist or a blacklist or both. Antiviruses, the automatic scanners that gmail and other providers use, all blacklists. A typical hash is bad, change a few bits, and you'll be clear.</div><div><br></div><div>For a white list, collisions are worse as you can trick an authority into approving it. </div></div>