GitHub introduit de nouvelles exigences pour la connexion à distance à Git

GitHub a annoncé des modifications concernant le renforcement de la sécurité du protocole Git, utilisé lors des opérations git push et git pull via SSH ou le schéma «git://» (les connexions via https:// ne seront pas affectées). Après l'entrée en vigueur de ces changements, pour se connecter à GitHub par SSH, il faudra au minimum OpenSSH version 7.2 (publiée en 2016) ou PuTTY version 0.75 (publiée en mai de cette année). Par exemple, la compatibilité avec le client SSH inclus dans CentOS 6 et Ubuntu 14.04, dont le support a déjà été arrêté, sera rompue.

Les changements consistent à cesser le support des connexions non chiffrées à Git (via «git://») et à renforcer les exigences sur les clés SSH utilisées pour accéder à GitHub. GitHub mettra fin au support de toutes les clés DSA et des algorithmes SSH obsolètes, tels que les chiffrages CBC (aes256-cbc, aes192-cbc, aes128-cbc) et HMAC-SHA-1. De plus, des exigences supplémentaires sont mises en place pour les nouvelles clés RSA (l'utilisation de SHA-1 sera interdite) et le support des clés d'hôte ECDSA et Ed25519 sera ajouté.

Les changements seront mis en œuvre progressivement. Le 14 septembre, de nouvelles clés d'hôte ECDSA et Ed25519 seront générées. Le 2 novembre, le support des nouvelles clés RSA basées sur SHA-1 sera arrêté (les clés précédemment générées continueront à fonctionner). Le 16 novembre, le support des clés d'hôte basées sur l'algorithme DSA sera arrêté. Le 11 janvier 2022, en tant qu'expérimentation, le support des anciens algorithmes SSH et des connexions non chiffrées sera temporairement suspendu. Le 15 mars, le support des anciens algorithmes sera définitivement désactivé.

De plus, on peut noter l'inclusion dans la base de code OpenSSH d'un changement désactivant par défaut le traitement des clés RSA basées sur le hachage SHA-1 («ssh-rsa»). Le support des clés RSA avec des hachages SHA-256 et SHA-512 (rsa-sha2-256/512) reste inchangé. La fin du support des clés «ssh-rsa» est due à l'amélioration de l'efficacité des attaques par collision avec un préfixe donné (le coût d'une attaque de collision est estimé à environ 50 000 dollars). Pour vérifier l'application de ssh-rsa dans vos systèmes, vous pouvez essayer de vous connecter par ssh avec l'option «-oHostKeyAlgorithms=-ssh-rsa».

Source : opennet.ru