GitHub পাবলিক রিপোজিটরিতে আসার পর SSH-এর জন্য RSA প্রাইভেট কী পরিবর্তন করেছে

গিটহাব এমন একটি ঘটনা রিপোর্ট করেছে যেখানে SSH-এর মাধ্যমে গিটহাব রিপোজিটরি অ্যাক্সেস করার জন্য হোস্ট কী হিসেবে ব্যবহৃত একটি প্রাইভেট RSA কী ভুলবশত একটি পাবলিকলি অ্যাক্সেসেবল রিপোজিটরিতে প্রকাশিত হয়ে যায়। এই লিকের ফলে শুধুমাত্র RSA কী-টিই ক্ষতিগ্রস্ত হয়েছে; ECDSA এবং Ed25519 হোস্ট SSH কী-গুলো সুরক্ষিত রয়েছে। ফাঁস হওয়া হোস্ট SSH কী-টি দিয়ে গিটহাবের ইনফ্রাস্ট্রাকচার বা ব্যবহারকারীর ডেটা অ্যাক্সেস করা যায় না, কিন্তু এটি SSH-এর মাধ্যমে সম্পাদিত গিট অপারেশনগুলো ইন্টারসেপ্ট করতে ব্যবহার করা যেতে পারে।

আক্রমণকারীদের হাতে RSA কী চলে গেলে GitHub-এর SSH সেশন হাইজ্যাক হওয়ার সম্ভাবনা রোধ করতে, GitHub একটি কী রোলওভার প্রক্রিয়া শুরু করেছে। ব্যবহারকারীদের অবশ্যই পুরোনো GitHub পাবলিক কী (ssh-keygen -R github.com) মুছে ফেলতে হবে অথবা ~/.ssh/known_hosts ফাইলে ম্যানুয়ালি কী-টি প্রতিস্থাপন করতে হবে, যা স্বয়ংক্রিয়ভাবে চালিত স্ক্রিপ্টগুলোকে ব্যাহত করতে পারে।

উত্স: opennet.ru