Репозиторият NPM спира поддръжката на TLS 1.0 и 1.1.

Компания GitHub реши да прекрати подкрепата за протоколите TLS 1.0 и 1.1 в хранилището на пакети NPM и на всички сайтове, свързани с мениджъра на пакети NPM, включително npmjs.com. От 4 октомври за свързване към хранилището, включително за инсталиране на пакети, ще е необходим клиент, поддържащ поне TLS 1.2. На самия GitHub поддръжката на TLS 1.0/1.1 беше спряна още през февруари 2018 г. Причината е грижата за сигурността на услугите и конфиденциалността на потребителските данни. Според GitHub около 99% от заявките към хранилището NPM вече се извършват с TLS 1.2 или 1.3, а Node.js включва поддръжка на TLS 1.2 от 2013 г. (започвайки от версия 0.10), така че промяната ще засегне единствено малка част от потребителите.

Напомняме, че протоколите TLS 1.0 и 1.1 официално бяха класифицирани от комитета IETF (Internet Engineering Task Force) като остарели технологии. Спецификацията TLS 1.0 беше публикувана през януари 1999 година. Седем години по-късно беше издадено обновление TLS 1.1 с подобрения в сигурността, свързани с генериране на вектори за инициализация и допълнително запълване. Сред основните проблеми на TLS 1.0/1.1 се споменава отсъствието на поддръжка на съвременни шифри (например ECDHE и AEAD) и наличието в спецификацията на изискване за поддръжка на стари шифри, на които надеждността в съвременната етап на развитие на компютърните технологии е поставена под съмнение (например, изисква се поддръжка на TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, за проверка на целостта и автентикацията се използва MD5 и SHA-1). Подкрепата на остарели алгоритми вече е довела до появата на атаки като ROBOT, DROWN, BEAST, Logjam и FREAK. Въпреки това, тези проблеми пряко не представляват уязвимости на протокола и бяха опитомени на нивото на неговите реализации. В самите протоколи TLS 1.0/1.1 липсват критични уязвимости, които могат да се използват за извършване на практически атаки.

Източник: opennet.ru