GitHub je najavio promjene na servisu koje se odnose na jačanje sigurnosti Git protokola koji se koristi tokom git push i git pull operacija putem SSH-a ili “git://” šeme (promjene neće uticati na zahtjeve putem https://). Kada promjene stupe na snagu, za povezivanje na GitHub putem SSH-a će biti potrebna najmanje OpenSSH verzija 7.2 (izdata 2016.) ili PuTTY verzija 0.75 (izdata u maju ove godine). Na primjer, kompatibilnost sa SSH klijentom uključenim u CentOS 6 i Ubuntu 14.04, koji više nisu podržani, bit će narušena.
Promjene uključuju uklanjanje podrške za nešifrirane pozive Gitu (putem “git://”) i povećane zahtjeve za SSH ključeve koji se koriste prilikom pristupa GitHubu. GitHub će prestati podržavati sve DSA ključeve i stare SSH algoritme kao što su CBC šifre (aes256-cbc, aes192-cbc aes128-cbc) i HMAC-SHA-1. Osim toga, uvode se dodatni zahtjevi za nove RSA ključeve (upotreba SHA-1 će biti zabranjena) i implementirana je podrška za ECDSA i Ed25519 host ključeve.
Promjene će se uvoditi postepeno. 14. septembra biće generisani novi ECDSA i Ed25519 ključevi domaćina. 2. novembra, podrška za nove RSA ključeve zasnovane na SHA-1 će biti ukinuta (prethodno generisani ključevi će nastaviti da rade). 16. novembra, podrška za ključeve domaćina zasnovane na DSA algoritmu će biti ukinuta. 11. januara 2022. godine, podrška za starije SSH algoritme i mogućnost pristupa bez šifriranja privremeno će biti ukinuta kao eksperiment. 15. marta podrška za stare algoritme će biti potpuno onemogućena.
Dodatno, možemo primijetiti da je napravljena zadana promjena u bazi koda OpenSSH koja onemogućuje obradu RSA ključeva na osnovu SHA-1 heša (“ssh-rsa”). Podrška za RSA ključeve sa SHA-256 i SHA-512 hešovima (rsa-sha2-256/512) ostaje nepromijenjena. Prestanak podrške za "ssh-rsa" ključeve je zbog povećane efikasnosti napada kolizije sa datim prefiksom (trošak odabira kolizije procjenjuje se na približno 50 hiljada dolara). Da biste testirali upotrebu ssh-rsa na vašim sistemima, možete pokušati da se povežete preko ssh-a sa opcijom “-oHostKeyAlgorithms=-ssh-rsa”.
izvor: opennet.ru