GitHub muutis SSH RSA privaatvõtit pärast selle avalikku hoidlasse sattumist

GitHub teatas intsidendist, kus GitHubi repositooriumidele SSH kaudu juurdepääsuks hostivõtmena kasutatud privaatne RSA-võti avaldati ekslikult avalikult ligipääsetavas repositooriumis. Lekke all oli ainult RSA-võti; ECDSA ja Ed25519 hosti SSH-võtmed jäävad turvaliseks. Lekkinud hosti SSH-võti ei võimalda juurdepääsu GitHubi infrastruktuurile ega kasutajaandmetele, kuid seda saab kasutada SSH kaudu teostatavate Giti toimingute pealtkuulamiseks.

SSH-seansside võimaliku GitHubi kaaperdamise vältimiseks juhul, kui RSA-võti satub ründajate kätte, on GitHub algatanud võtme ümberpaigutamise protsessi. Kasutajad peavad kustutama vana GitHubi avaliku võtme (ssh-keygen -R github.com) või asendama käsitsi võtme failis ~/.ssh/known_hosts, mis võib häirida automaatselt käivitatavaid skripte.

Allikas: opennet.ru