GitHub ने कीपेयर लाइब्रेरी का उपयोग करके उत्पन्न SSH कुंजियों को अवरुद्ध कर दिया है

GitHub ने उन Git क्लाइंट के उपयोगकर्ताओं के लिए SSH कुंजियों को ब्लॉक कर दिया है जो कुंजी उत्पन्न करने के लिए जावास्क्रिप्ट लाइब्रेरी कुंजी-युग्म का उपयोग करते हैं। उदाहरण के लिए, Git क्लाइंट GitKraken की कुंजियाँ अवरुद्ध कर दी गईं। इस कमजोरी के कारण त्रुटि के कारण पूर्वानुमानित RSA कुंजियों का निर्माण होता है, जो कुंजियों के लिए यादृच्छिक अनुक्रम उत्पन्न करते समय एन्ट्रॉपी की गुणवत्ता को महत्वपूर्ण रूप से कम कर देता है। यह समस्या कीपेयर 1.0.4 और GitKraken 8.0.1 में ठीक कर दी गई।

कुंजी निर्माण की प्रक्रिया में "b.putByte(String.fromCharCode(next & 0xFF))" कॉल के उपयोग के कारण यह भेद्यता उत्पन्न हुई, जबकि putByte विधि में fromCharCode विधि को पुनः कॉल किया गया था। fromCharCode ("String.fromCharCode(String.fromCharCode(next & 0xFF))") को डबल कॉल करने के परिणामस्वरूप अधिकांश एन्ट्रॉपी बफर शून्य से भर गया, अर्थात कुंजी "यादृच्छिक" डेटा के आधार पर उत्पन्न हुई, जिसमें से 97% में शून्य शामिल थे।

स्रोत: opennet.ru