Migrate internal SHA-1 usage to stronger cryptographic algorithms
I maintainer di solito rispondono entro 1 giorno
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 5/5
- Tempo stimato
- Più di una settimana
- Idoneità per principianti
- 25/100
- Tipo di issue
- Funzionalità
- Chiarezza
- Da chiarire
- Stato di attività
- Tranquilla
- Ambito
- mobile-dev, security
Direzione di ricerca
Nell’issue non sono indicati file, test o punti di ingresso. Inizia individuando l’uso interno di SHA-1 nel Firebase Android SDK, quindi esamina i vincoli relativi alla generazione degli identificatori e alla compatibilità; il lavoro è completato quando è stato definito un piano di migrazione o di risoluzione tecnicamente fattibile, inclusa la guida per gli sviluppatori, senza compromettere la compatibilità con le versioni precedenti.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Background
During an independent penetration test, the assessment identified internal SHA-1 usage within the Firebase Android SDK. Based on our technical review, this implementation is limited to identifier generation and compatibility purposes. It is not used for authentication, password protection, encryption of sensitive information, digital signatures, or other security-sensitive functions, and therefore is not considered exploitable within our application's context.
Request
As part of our regulatory remediation programme, we are required to establish a remediation plan for all identified third-party dependencies containing deprecated cryptographic algorithms.
We would appreciate it if the Firebase team could consider replacing or migrating internal SHA-1 usage to stronger cryptographic algorithms in future Firebase Android SDK releases, where technically feasible and without impacting backward compatibility.
If there is already a roadmap for this enhancement, or if there are recommended migration paths for application developers, we would appreciate any guidance.
Thank you for your continued efforts in maintaining and improving the Firebase Android SDK.
- Lingua principale
- Java
- Stelle
- 2.6k
- Fork
- 733
- Merge medio
- 2g 15h
- PR unite (30g)
- 72
Preparare l'ambiente
- Nessun Dockerfile né file Docker Compose
- Nessun modello di pull request
- Leggi la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di firebase/firebase-android-sdk
-
api: remoteconfig
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
firebase/firebase-android-sdk#8827 ·
I maintainer di solito rispondono entro 1 giorno
-
Crashlytics plugin writes build ID lists in directory listing order, so APKs can differ between machinesForse già presa @mrober l’ha presa 8 giorni fa. Apertaapi: crashlytics
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
firebase/firebase-android-sdk#8789 · 1 commento · 1 assegnatario ·
I maintainer di solito rispondono entro 1 giorno
-
api: auth
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
firebase/firebase-android-sdk#8505 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 4/5 3-5 giorni Idoneità per principianti 15/100
firebase/firebase-android-sdk#8835 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 4/5 3-5 giorni Idoneità per principianti 25/100
firebase/firebase-android-sdk#8832 ·
I maintainer di solito rispondono entro 1 giorno
Tutte le issue di firebase/firebase-android-sdk
Issue simili
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 65/100
NationalSecurityAgency/ghidra#10220 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 76/100
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 80/100
I maintainer di solito rispondono entro 1 giorno
-
RIS export splits an organization name containing “and” into multiple authorsForse già presa @Gautam-aman l’ha presa oggi. Apertastatus: needs-triage
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
JabRef/jabref#17821 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
-
FailureContext.java rounds down thresholds in lastedAtLeast()Forse già presa Una pull request collegata a questa issue è aperta o già unita. Aperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 82/100
I maintainer di solito rispondono entro 1 giorno