<div dir="auto"><br><div class="gmail_extra" dir="auto"><div class="gmail_quote">Den 22 jan 2017 23:27 skrev "John Levine" <<a href="mailto:johnl@iecc.com">johnl@iecc.com</a>>:<blockquote class="quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
But I'm wondering how real the MD5 threat is in practice.  Java JAR files<br>
are ZIP files containing a manifest that lists the other files and can<br>
contain signed hashes of the other files.  So I can see how I could generate<br>
a collision and replace one of the other files with garbage, which might<br>
crash a poorly debugged Java implmentation.  But how likely is it that I<br>
could replace one of the other files with a different Java program?<br></blockquote></div></div><div dir="auto"><br></div><div class="gmail_extra" dir="auto"><div class="gmail_quote"><blockquote class="quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"></blockquote></div></div><div dir="auto"><a href="http://www.mscs.dal.ca/~selinger/md5collision/">http://www.mscs.dal.ca/~selinger/md5collision/</a><br></div><div dir="auto"><br></div><div dir="auto">From 2006, and since then there's even been multicollision multifiletype hash collision generators with GPU acceleration and more. </div><div dir="auto"><br></div><div dir="auto">You can trivially generate valid files with colliding hashes. </div><div class="gmail_extra" dir="auto"><div class="gmail_quote"><blockquote class="quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"></blockquote></div></div></div>