GitHub oznámil změny v službě, které se týkají posílení ochrany protokolu Git používaného při provádění operací git push a git pull prostřednictvím SSH nebo schématu „git://“ (změny se netýkají přístupu přes https://). Po začátku platnosti změn bude potřeba pro připojení k GitHubu přes SSH minimálně OpenSSH verze 7.2 (vydaná v roce 2016) nebo PuTTY verze 0.75 (vydaná v květnu tohoto roku). Například kompatibilita s SSH klientem součásti CentOS 6 a Ubuntu 14.04 bude narušena, podpora kterých již byla zastavena.
Zm changes redikují k ukončení podpory nešifrovaných přístupů k Git (přes „git://“) a zesílení požadavků na SSH klíče používané při přístupu k GitHubu. GitHub přestane podporovat všechny DSA klíče a zastaralé algoritmy SSH, jako jsou šifry CBC (aes256-cbc, aes192-cbc, aes128-cbc) a HMAC-SHA-1. Kromě toho jsou zaváděny další požadavky pro nové RSA klíče (bude zakázáno použití SHA-1) a bude implementována podpora hostitelských klíčů ECDSA a Ed25519.
Změny budou realizovány postupně. 14. září budou vygenerovány nové hostitelské klíče ECDSA a Ed25519. 2. listopadu bude zastavena podpora nových RSA klíčů založených na SHA-1 (dříve generované klíče budou i nadále fungovat). 16. listopadu bude zastavena podpora hostitelských klíčů založených na algoritmu DSA. 11. ledna 2022 bude jako experiment dočasně zastavena podpora starých algoritmů SSH a možnost přístupu bez šifrování. 15. března bude podpora starých algoritmů definitivně vypnuta.
Dále lze zmínit, že do kódové základny OpenSSH byla přidána změna, která ve výchozím nastavení vypíná zpracování RSA klíčů založených na hash SHA-1 („ssh-rsa“). Podpora RSA klíčů s hashe SHA-256 a SHA-512 (rsa-sha2-256/512) zůstává beze změny. Ukončení podpory klíčů „ssh-rsa“ je způsobeno zvyšující se efektivitou kolizních útoků s daným prefixem (náklady na nalezení kolize jsou odhadovány na přibližně 50 tisíc dolarů). Pro kontrolu použitelnosti ssh-rsa ve svých systémech můžete vyzkoušet připojení přes ssh s volbou „-oHostKeyAlgorithms=-ssh-rsa“.
Zdroj: opennet.ru
