GitHub обяви промени в услугата, свързани с усилването на защитата на протокола Git, използван при извършване на операции git push и git pull чрез SSH или схемата «git://» (обращенията чрез https:// няма да бъдат засегнати). След влизането в сила на промените, за свързване с GitHub по SSH ще е необходим минимум OpenSSH версия 7.2 (пусната през 2016 година) или PuTTY версия 0.75 (пусната през май тази година). Например, ще бъде нарушена съвместимостта с SSH клиента от състава на CentOS 6 и Ubuntu 14.04, поддръжката на които вече е прекратена.
Промените се състоят в прекратяване на поддръжката на нешифровани обращения към Git (чрез «git://») и в засилване на изискванията към SSH ключовете, използвани за достъп до GitHub. GitHub ще преустанови поддръжката на всички DSA ключове и остарели SSH алгоритми, като шифри CBC (aes256-cbc, aes192-cbc, aes128-cbc) и HMAC-SHA-1. Освен това се въвеждат допълнителни изисквания за новите RSA ключове (ще бъде забранено използването на SHA-1) и се реализира поддръжка на хост ключове ECDSA и Ed25519.
Промените ще се въвеждат постепенно. На 14 септември ще бъдат генерирани нови хост ключове ECDSA и Ed25519. На 2 ноември ще бъде прекратена поддръжката на нови RSA ключове, базирани на SHA-1 (по-рано генерираните ключове продължават да функционират). На 16 ноември ще бъде прекратена поддръжката на хост ключовете, базирани на DSA алгоритъма. На 11 януари 2022 година временно ще бъде прекратена поддръжката на старите SSH алгоритми и възможността за нешифрован достъп. На 15 март поддръжката на старите алгоритми ще бъде окончателно спряна.
Допълнително може да се отбележи, че в кода на OpenSSH е внесен вариант, по подразбиране да се деактивира обработката на RSA ключовете, базирани на хеш SHA-1 («ssh-rsa»). Поддръжката на RSA ключове с хешове SHA-256 и SHA-512 (rsa-sha2-256/512) остава без промяна. Прекратяването на поддръжката на «ssh-rsa» е свързано с повишаване на ефективността на колизионни атаки с определен префикс (цената за подбор на колизия се оценява на около 50 хиляди долара). За да проверите приложението на ssh-rsa в своите системи, можете да опитате да се свържете по ssh с опция «-oHostKeyAlgorithms=-ssh-rsa».
Източник: opennet.ru
