Společnost GitHub se rozhodla ukončit podporu protokolů TLS 1.0 a 1.1 v repozitáři balíčků NPM a na všech stránkách souvisejících s balíčkovým manažerem NPM, včetně npmjs.com. Od 4. října bude pro připojení k repozitáři, včetně instalace balíčků, vyžadován klient s podporou alespoň TLS 1.2. Na samotném GitHubu byla podpora TLS 1.0/1.1 ukončena již v únoru 2018. Motivací je zajištění bezpečnosti jejich služeb a ochrany soukromí uživatelů. Podle údajů GitHubu se přibližně 99 % požadavků na repozitář NPM již realizuje pomocí TLS 1.2 nebo 1.3, a Node.js má podporu pro TLS 1.2 od roku 2013 (od vydání 0.10), takže změna se dotkne jen malé části uživatelů.
Připomínáme, že protokoly TLS 1.0 a 1.1 byly oficiálně zařazeny výborem IETF (Internet Engineering Task Force) mezi zastaralé technologie. Specifikace TLS 1.0 byla publikována v lednu 1999. O sedm let později bylo vydáno aktualizované TLS 1.1 s bezpečnostními vylepšeními týkajícími se generování inicializačních vektorů a doplňkového vyplnění. Mezi hlavní problémy TLS 1.0/1.1 patří absence podpory moderních šifer (např. ECDHE a AEAD) a požadavek na podporu starých šifer, jejichž spolehlivost je v současné fázi vývoje výpočetní techniky zpochybňována (např. je vyžadována podpora TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, pro ověřování integrity a autentifikaci se používá MD5 a SHA-1). Podpora zastaralých algoritmů již vedla k vzniku takových útoků, jako jsou ROBOT, DROWN, BEAST, Logjam a FREAK. Nicméně, tyto problémy přímo nenastavily zranitelnosti protokolu a byly řešeny na úrovni jeho implementací. Samotné protokoly TLS 1.0/1.1 nemají kritické zranitelnosti, které by mohly být využity k provedení praktických útoků.
Zdroj: opennet.ru
