Door Erik van Straten: [..] Hoewel ik het in dit specifieke scenario onwaarschijnlijk acht dat er verschillen bestaan tussen de apps in de stores en builds met de publiek beschikbare source code, kun je niet uitsluiten dat een kwaadwillende kan rommelen met gearchiveerde zip-bestanden die onderling verschillen maar dezelfde MD5 hash opleveren. Dit vind ik uiterst zorgelijk voor een escrow-partij. Ik hoop niet dat de slordigheden en het gebruik van MD5 voor deze specifieke toepassing iets zeggen over hoe deze organisatie haar processen verder heeft ingericht. In elk geval zijn ze duidelijk al vele jaren niet op de hoogte van ontwikkelingen in de security-wereld. Goed opgemerkt, en inderdaad geen reclame voor de escrow partij . Ik wil wel opmerken dat voor MD5 nog steeds _slechts_ een collision vinden mogelijk is. Een kwaadwillende _bron_ kan inderdaad twee versies produceren met dezelfde MD5 hash . Een kwaadwillende *derde* kan geen versie produceren met dezelfde MD5 hash als de "echte" versie waar de ...