GitHub je najavio uvođenje promjena u servis koje se tiču jačanja zaštite protokola Git, korištenog u procesu izvođenja operacija git push i git pull putem SSH ili sheme "git://" (promjene se neće ticati poziva putem https://). Nakon početka važenja promjena, za povezivanje s GitHub-om putem SSH bit će potrebna najmanje OpenSSH verzija 7.2 (izdata 2016. godine) ili PuTTY verzija 0.75 (izdana u svibnju ove godine). Na primjer, bit će narušena kompatibilnost s SSH klijentima iz paketa CentOS 6 i Ubuntu 14.04, čija podrška je već okončana.
Promjene se svode na prestanak podrške za nešifrirane pozive prema Git-u (putem "git://") i jačanje zahtjeva za SSH ključevima koji se koriste prilikom pozivanja GitHub-a. GitHub će prekinuti podršku za sve DSA ključeve i zastarjele SSH algoritme, poput CBC šifara (aes256-cbc, aes192-cbc aes128-cbc) i HMAC-SHA-1. Osim toga, uvedeni su dodatni zahtjevi za nove RSA ključeve (bit će zabranjena primjena SHA-1) i implementacija podrške za host ključevima ECDSA i Ed25519.
Promjene će se provoditi postupno. 14. rujna bit će generirani novi host ključevima ECDSA i Ed25519. 2. studenog prestat će podrška za nove RSA ključeve temeljene na SHA-1 (ranije generirani ključevi nastavljaju raditi). 16. studenog prestat će podrška za host ključeve temeljenim na DSA algoritmu. 11. siječnja 2022. godine, kao eksperiment, privremeno će biti obustavljena podrška za stare SSH algoritme i mogućnost pristupa bez šifriranja. 15. ožujka podrška za stare algoritme bit će konačno isključena.
Dodatno se može istaknuti da je u kodnu bazu OpenSSH uvedena promjena koja po defaultu onemogućuje obradu RSA ključeva temeljenih na SHA-1 hešu ("ssh-rsa"). Podrška za RSA ključeve s hešovima SHA-256 i SHA-512 (rsa-sha2-256/512) ostaje nepromijenjena. Prestanak podrške za "ssh-rsa" ključeve uzrokovan je povećanjem efikasnosti kolizijskih napada s unaprijed zadanim prefiksom (trošak pronalaženja kolizije procjenjuje se na oko 50 tisuća dolara). Za provjeru primjene ssh-rsa u svojim sustavima, možete pokušati povezivanje putem ssh s opcijom "-oHostKeyAlgorithms=-ssh-rsa".
Izvor: opennet.ru
