GitHub блокира SSH ключове, генерирани с помощта на библиотеката keypair

GitHub блокира SSH ключовете на потребителите на Git клиенти, използващи JavaScript библиотеката keypair за генерация на ключове. Например, ключовете на Git клиента GitKraken попаднаха под блокировка. Уязвимостта води до формированието на предсказуеми RSA ключове поради грешка, която значително намалява качеството на ентропията при генериране на произволна последователност за ключове. Проблемът е решен в версиите keypair 1.0.4 и GitKraken 8.0.1.

Причината за появата на уязвимостта е използването на извикването «b.putByte(String.fromCharCode(next & 0xFF))» в процеса на генериране на ключа, като в метода putByte отново е извикан методът fromCharCode. Двойното извикване на fromCharCode («String.fromCharCode( String.fromCharCode(next & 0xFF) )») води до това, че голяма част от буфера с ентропия остава запълнена с нули, т.е. ключът се генерира на базата на «случайни» данни, 97% от които са нули.

Източник: opennet.ru