La compañía GitHub ha decidido dejar de dar soporte a los protocolos TLS 1.0 y 1.1 en el repositorio de paquetes NPM y en todos los sitios relacionados con el gestor de paquetes NPM, incluido npmjs.com. A partir del 4 de octubre, será necesario un cliente que soporte al menos TLS 1.2 para conectarse al repositorio, incluyendo para la instalación de paquetes. En GitHub, el soporte para TLS 1.0/1.1 se interrumpió en febrero de 2018. El motivo mencionado es la preocupación por la seguridad de sus servicios y la privacidad de los datos de los usuarios. Según GitHub, aproximadamente el 99% de las solicitudes al repositorio NPM ya se realizan utilizando TLS 1.2 o 1.3, y Node.js incluye soporte para TLS 1.2 desde 2013 (desde la versión 0.10), por lo que el cambio solo afectará a una pequeña parte de los usuarios.
Recordamos que los protocolos TLS 1.0 y 1.1 han sido oficialmente catalogados como tecnologías obsoletas por el comité IETF (Internet Engineering Task Force). La especificación TLS 1.0 fue publicada en enero de 1999. Siete años después, se lanzó una actualización TLS 1.1 con mejoras de seguridad relacionadas con la generación de vectores de inicialización y relleno adicional. Entre los principales problemas de TLS 1.0/1.1 se menciona la falta de soporte para cifrados modernos (como ECDHE y AEAD) y la inclusión en la especificación de un requisito para el soporte de cifrados antiguos, cuya fiabilidad en la actualidad ha sido cuestionada (por ejemplo, se requiere el soporte para TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, y se utilizan MD5 y SHA-1 para la verificación de integridad y autenticación). El soporte de algoritmos obsoletos ya ha dado lugar a ataques como ROBOT, DROWN, BEAST, Logjam y FREAK. Sin embargo, estos problemas no eran vulnerabilidades directas del protocolo y se abordaban a nivel de sus implementaciones. Los propios protocolos TLS 1.0/1.1 no presentan vulnerabilidades críticas que puedan ser explotadas para llevar a cabo ataques prácticos.
Fuente: opennet.ru
