Nakahukom ang GitHub nga ihunong ang suporta alang sa TLS 1.0 ug 1.1 sa repositoryo sa pakete sa NPM ug ang tanan nga mga site nga adunay kalabotan sa manager sa pakete sa NPM, lakip ang npmjs.com. Sugod sa Oktubre 4, ang pagkonekta sa repositoryo, lakip ang pag-install sa mga pakete, magkinahanglan usa ka kliyente nga nagsuporta sa labing menos TLS 1.2. Sa GitHub mismo, ang suporta alang sa TLS 1.0 / 1.1 gihunong kaniadtong Pebrero 2018. Ang motibo giingon nga kabalaka alang sa seguridad sa mga serbisyo niini ug ang pagkakompidensyal sa datos sa tiggamit. Sumala sa GitHub, mga 99% sa mga hangyo sa NPM repository nahimo na gamit ang TLS 1.2 o 1.3, ug ang Node.js naglakip sa suporta alang sa TLS 1.2 sukad sa 2013 (sukad sa pagpagawas sa 0.10), busa ang pagbag-o makaapekto lamang sa gamay nga bahin sa tiggamit.
Atong hinumdoman nga ang TLS 1.0 ug 1.1 nga mga protocol opisyal nga giklasipikar nga dili na magamit nga mga teknolohiya sa IETF (Internet Engineering Task Force). Ang espesipikasyon sa TLS 1.0 gipatik niadtong Enero 1999. Paglabay sa pito ka tuig, ang pag-update sa TLS 1.1 gipagawas uban ang mga pag-uswag sa seguridad nga may kalabotan sa henerasyon sa mga vectors sa pagsugod ug padding. Lakip sa mga nag-unang problema sa TLS 1.0/1.1 mao ang kakulang sa suporta alang sa modernong ciphers (pananglitan, ECDHE ug AEAD) ug ang presensya sa espesipikasyon sa usa ka kinahanglanon sa pagsuporta sa daan nga ciphers, ang pagkakasaligan niini gikuwestiyon sa karon nga yugto sa pag-uswag sa teknolohiya sa kompyuter (pananglitan, suporta para sa TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA gikinahanglan aron masusi ang integridad ug pag-authenticate gamit ang MD5 ug SHA-1). Ang suporta alang sa karaan nga mga algorithm nagdala na sa mga pag-atake sama sa ROBOT, DROWN, BEAST, Logjam ug FREAK. Bisan pa, kini nga mga problema wala direktang gikonsiderar nga mga kahuyangan sa protocol ug nasulbad sa lebel sa mga pagpatuman niini. Ang TLS 1.0/1.1 nga mga protocol sa ilang kaugalingon kulang sa mga kritikal nga kahuyangan nga mahimong mapahimuslan aron mahimo ang praktikal nga mga pag-atake.
Source: opennet.ru