GitHub ने कीपेयर लाइब्रेरी का उपयोग करके उत्पन्न SSH कुंजियों को अवरुद्ध कर दिया है

GitHub ने Git क्लाइंट के उपयोगकर्ताओं के लिए SSH कुंजियाँ अवरुद्ध कर दी हैं जो कुंजियाँ उत्पन्न करने के लिए कीपेयर JavaScript लाइब्रेरी का उपयोग करते हैं। उदाहरण के लिए, Git क्लाइंट GitKraken की कुंजियाँ अवरुद्ध कर दी गईं। भेद्यता एक त्रुटि के कारण पूर्वानुमानित आरएसए कुंजियों की पीढ़ी की ओर ले जाती है जो कुंजियों के लिए यादृच्छिक अनुक्रम उत्पन्न करते समय एन्ट्रापी की गुणवत्ता को काफी कम कर देती है। समस्या को कीपेयर 1.0.4 और GitKraken 8.0.1 रिलीज़ में ठीक कर दिया गया था।

भेद्यता का कारण कुंजी निर्माण प्रक्रिया के दौरान "b.putByte(String.fromCharCode(next & 0xFF))" कॉल का उपयोग था, इस तथ्य के बावजूद कि fromCharCode विधि को फिर से putByte विधि में कॉल किया गया था। fromCharCode को दो बार कॉल करने ("String.fromCharCode( String.fromCharCode(next & 0xFF)") के परिणामस्वरूप अधिकांश एन्ट्रॉपी बफर शून्य से भर गया, यानी। कुंजी "यादृच्छिक" डेटा के आधार पर तैयार की गई थी, जिसमें 97% शून्य शामिल थे।

स्रोत: opennet.ru