Репозиторият NPM спира поддръжката на TLS 1.0 и 1.1

Компания GitHub реши да спре поддръжката на протоколите TLS 1.0 и 1.1 в репозитория NPM и на всички свързани с пакетния мениджър NPM уебсайтове, включително npmjs.com. От 4 октомври за свързване към репозитория, включително за инсталиране на пакети, ще е необходим клиент, който поддържа поне TLS 1.2. На самия GitHub поддръжката на TLS 1.0/1.1 беше спряна още през февруари 2018 година. Причината за това решение е грижата за сигурността на услугите и конфиденциалността на данните на потребителите. Според GitHub около 99% от заявките към репозитория NPM вече се извършват с TLS 1.2 или 1.3, а Node.js включва поддръжка на TLS 1.2 от 2013 година (от версия 0.10), така че промяната ще засегне само незначителна част от потребителите.

Да припомним, че протоколите TLS 1.0 и 1.1 официално бяха класифицирани от комитета IETF (Internet Engineering Task Force) като остарели технологии. Спецификацията на TLS 1.0 беше публикувана през януари 1999 година. След седем години беше издадено обновление за TLS 1.1 с подобрения в сигурността, свързани с генерирането на вектори за инициализация и добавъчно запълване. Основните проблеми с TLS 1.0/1.1 включват липсата на поддръжка на съвременни шифри (например ECDHE и AEAD) и наличието на изисквания в спецификацията за поддръжка на стари шифри, чиято надеждност на съвременния етап на развитие на компютърната техника е поставена под съмнение (например, изисква се поддръжка на TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, а за проверка на целостта и автентикацията се използва MD5 и SHA-1). Поддръжката на остарели алгоритми вече е довела до появата на атаки като ROBOT, DROWN, BEAST, Logjam и FREAK. Въпреки това, тези проблеми не бяха директно уязвимости на протокола и бяха затворени на ниво реализации. В самите протоколи TLS 1.0/1.1 няма критични уязвимости, които могат да се използват за практически атаки.

Източник: opennet.ru