GitHub har blokeret SSH-nøgler for brugere af Git-klienter, der anvender JavaScript-biblioteket keypair til at generere nøgler. For eksempel er nøgler fra Git-klienten GitKraken blevet ramt af blokaden. Sårbarheden fører til generering af forudsigelige RSA-nøgler på grund af en fejl, der betydeligt reducerer kvaliteten af entropi ved generering af tilfældige sekvenser for nøgler. Problemet er løst i versioner af keypair 1.0.4 og GitKraken 8.0.1.
Årsagen til sårbarheden var brugen af opkaldet "b.putByte(String.fromCharCode(next & 0xFF))" under dannelsen af nøgle, idet metoden putByte endnu engang kaldte metoden fromCharCode. Den dobbelte opkald af fromCharCode ("String.fromCharCode( String.fromCharCode(next & 0xFF) )") førte til, at størstedelen af bufferens entropi blev fyldt med nuller, dvs. nøglen blev genereret baseret på "tilfældige" data, der bestod af 97% nuller.
Kilde: opennet.ru
