Git imzalı commit zincirlerinde değiştirilebilirlik: Araştırma ne gösteriyor?

Jacob Ginesin'in Git Hash Chain Malleability çalışması, imzalı Git commitlerinin farklı gösterimlerinin geçerli imza korunurken farklı commit kimlikleri üretebildiğini raporluyor. Araştırmada dosya ağacı ve metadata aynı kalırken commit hash'i değişebiliyor; bu değişiklik ona bağlı sonraki commit kimliklerine de yansıyor.

Çalışma, sonucu SHA2'yi kırmaya dayandırmıyor. Dolayısıyla yalnız daha güçlü bir hash algoritmasına geçmenin bu araştırmadaki sorunu çözdüğü sonucu çıkarılamaz. Makalenin odağı blok zinciri mutabakatı değil, Git imzaları ve commit kimliğine dayanan yazılım tedarik zinciri varsayımlarıdır.

Yazar; commit engelleme, bağımlılık sabitleme ve yeniden üretilebilir derleme sistemleri açısından olası etkileri tartışıyor. Bu yazı araştırma bulgularının kaynaklı özetidir; AI Lab Türkiye tarafından saldırı denemesi yapılmadı ve belirli bir projenin etkilendiği doğrulanmadı.

Kaynak kontrolü: 19 Eylül 2026. İlk sürüm (2 Temmuz 2026) ve ikinci sürüm (6 Ağustos 2026) özetleri karşılaştırıldı. Önceki yazıdaki blok zinciri ve hash algoritması üzerinden yapılan genelleme bu nedenle düzeltilmiştir.