Se espera que Git 3.0 cambie su algoritmo hash predeterminado de contenido de SHA-1 a SHA-256, un cambio que Scott Chacon describió en GitButler como una 'pesadilla global incomprensiblemente cara y finalmente inútil y evitable'. Señala que el cambio afectará a cada nuevo repositorio creado con `git init`, que utilizará SHA-256 a menos que se especifique lo contrario.
Esta imagen respalda el punto del artículo de que cambiar el algoritmo hash predeterminado de Git afectará a cada nuevo repositorio creado con `git init`, obligando a los usuarios a tomar una decisión informada que la mayoría podría no comprender.
Chacon argumenta que, a pesar de que SHA-1 muestra debilidades teóricas frente a ataques de colisión (como la demostración SHAttered), explotar esas debilidades requeriría recursos computacionales astronómicos—las estimaciones sugieren miles de millones de años incluso con grandes granjas de GPU—y que los ataques reales a los sistemas de control de versiones no dependen de colisiones de hash sino de comprometer los canales de distribución confiables, reiterando la opinión de Linus Torvalds de que 'la verdadera seguridad está en la distribución'.
Según la publicación, la consecuencia práctica es que los repositorios inicializados con SHA-256 no pueden enviarse a GitHub u hosts similares hasta que esas plataformas añadan soporte explícito, lo que obliga a una división donde los proyectos deben comprometerse con un algoritmo hash u otro, pudiendo romper las herramientas existentes, scripts de construcción y flujos de trabajo que asumen hashes SHA-1, todo por lo que Chacon considera una mejora de seguridad insignificante.
Esta imagen ilustra la afirmación del artículo de que los repositorios inicializados con SHA-256 no pueden enviarse a GitHub u hosts similares hasta que se añada soporte, potencialmente rompiendo flujos de trabajo y scripts de construcción existentes que asumen hashes SHA-1.