GitHub on otsustanud lõpetada TLS 1.0 ja 1.1 protokollide toe pakkumise NPM pakettide hoidlas ning kõigil NPM-i pakihalduriga seotud saitidel, sealhulgas npmjs.com. Alates 4. oktoobrist on repotidesse ühendamiseks, sealhulgas pakettide installimiseks, vajalik vähemalt TLS 1.2 tuge pakkiv klient. GitHubis lõpetati TLS 1.0/1.1 toe pakkumine juba 2018. aasta veebruaris. Motivatsiooniks on toodud ülesannete turvalisus ja kasutajate andmete konfidentsiaalsus. GitHubi andmetel toimub umbes 99% NPM-i hoidlas tehtavatest päringutest juba TLS 1.2 või 1.3 abil ning Node.js sisaldab TLS 1.2 tuge alates 2013. aastast (versioonist 0.10), seega puudutab muudatus vaid vähenenud osa kasutajatest.
Tuletame meelde, et TLS 1.0 ja 1.1 protokollid on ametlikult klassifitseeritud IETF (Internet Engineering Task Force) komitee poolt aegunud tehnoloogiateks. TLS 1.0 spetsifikatsioon avaldati jaanuaris 1999. Aastaid hiljem, 2006. aastal, ilmus uuendus TLS 1.1, mis sisaldas turvaparandusi, mis olid seotud initsialiseerimise vektorite ja täiendava täitmise generaatoritega. TLS 1.0/1.1 peamiste probleemide hulgas on tänapäevaste cipherite, nagu ECDHE ja AEAD, toe puudumine ning spetsifikatsioonis nõue, et vanade cipherite (nt TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA) tugi peaks olema säilinud, mille usaldusväärsus on kaasaegse arvutitehnika arengu tasemel küsitav (nt integriteedi ja autentimise kontrollimiseks kasutatakse MD5 ja SHA-1). Aegunud algoritmide tugi on viinud selliste rünnakute, nagu ROBOT, DROWN, BEAST, Logjam ja FREAK, tekkimisele. Siiski ei olnud need probleemid otseselt protokolli haavatavused ning need olid suletud protokolli rakendustes. TLS 1.0/1.1 protokollides puuduvad kriitilised haavatavused, mida saaks kasutada praktiliste rünnakute vahendina.
Allikas: opennet.ru
