GitHub toob sisse uued nõuded kaugühenduse jaoks Git-iga

GitHub teatas teenuses muudatuste tegemisest, mis on seotud Git-protokolli kaitse suurendamisega, mida kasutatakse git push ja git pull toimingute tegemiseks SSH kaudu või skeemi "git://" kaudu (HTTPS kaudu toimumise muutused ei puuduta). Pärast muudatuste jõustumist on GitHubi ühendamiseks SSH kaudu vajalik vähemalt OpenSSH versioon 7.2 (välja anti 2016. aastal) või PuTTY versioon 0.75 (välja anti selle aasta mais). Näiteks ei toeta CentOS 6 ja Ubuntu 14.04 SSH-klient, millega oli juba lõpetatud tugi.

Muudatused seisnevad mittešifreeritud päringute lõpetamises Gitile ("git://") ja SSH-võtmete suurenenud nõuetes, mis on vajalikud GitHubile pääsemiseks. GitHub lõpetab kõigi DSA-võtmete ja vananenud SSH-algoritmide nagu CBC (aes256-cbc, aes192-cbc, aes128-cbc) ja HMAC-SHA-1 toe. Lisaks kehtestatakse täiendavad nõuded uutele RSA-võtmetele (SHA-1 kasutamine on keelatud) ja toetatakse ECDSA ja Ed25519 hosti võtmeid.

Muudatused viiakse ellu järk-järgult. 14. septembril genereeritakse uued ECDSA ja Ed25519 hosti võtmed. 2. novembril lõpetatakse RSA võtmete toetamine, mis põhinevad SHA-1 (varasemate generaatoritega võtmed jätkavad tööd). 16. novembril lõpetatakse DSA-põhiste hosti võtmete tugi. 11. jaanuaril 2022 katse korras peatatakse vanade SSH-algoritmide ja mittešifreeritud ühenduste toimetamine ajutiselt. 15. märtsil lõpetatakse vanade algoritmide toimetamine lõplikult.

Lisaks võib märkida, et OpenSSH koodibaasi on lisatud muudatus, mis keelab vaikimisi RSA võtmete käsitlemise, millel on SHA-1 hash («ssh-rsa»). RSA võtmete toimetamine SHA-256 ja SHA-512 hashidega (rsa-sha2-256/512) jääb muutumatuks. «ssh-rsa» võtmete toe lõpetamine on tingitud kokkulangemiste rünnakute efektiivsuse suurendamisest (kokkulangevuse leidmise maksumus on hinnanguliselt umbes 50 000 dollarit). SSH-rsa rakenduse kontrollimiseks oma süsteemides võib proovida SSH-ühendust, kasutades suvandit «-oHostKeyAlgorithms=-ssh-rsa».

Allikas: opennet.ru