A GitHub bejelentette, hogy változtatásokat vezet be a szolgáltatásán, amelyek a Git protokoll védelmének megerősítésére vonatkoznak, a git push és git pull parancsok SSH-n vagy a „git://” sémán keresztüli végrehajtása során (a https:// hivatkozásokra ezek a változások nem vonatkoznak). A változások életbe lépése után a GitHub-hoz SSH-n keresztüli csatlakozáshoz legalább OpenSSH 7.2 verzióra (amelyet 2016-ban adtak ki) vagy PuTTY 0.75 verzióra (amelyet az év májusában adtak ki) lesz szükség. Például megszűnik a kompatibilitás a CentOS 6 és Ubuntu 14.04 SSH-ügyfelével, amelyek támogatása már megszűnt.
A változások a Git nem titkosított hívásainak megszüntetésére (a „git://” elérési úton) és a GitHub-hoz való hozzáféréshez használt SSH-kulcsokra vonatkozó követelmények szigorítására vonatkoznak. A GitHub megszünteti az összes DSA-kulcs és elavult SSH-algoritmus, például a CBC titkosítók (aes256-cbc, aes192-cbc, aes128-cbc) és a HMAC-SHA-1 támogatását. Ezen kívül új RSA-kulcsokkal szemben további követelmények lépnek életbe (a SHA-1 alkalmazása tilos lesz), és megvalósítják az ECDSA és Ed25519 hostkulcsok támogatását.
A változásokat fokozatosan vezetik be. Szeptember 14-én új ECDSA és Ed25519 hostkulcsok kerülnek generálásra. November 2-án megszűnik az új SHA-1 alapú RSA-kulcsok támogatása (az előzőleg generált kulcsok továbbra is működnek). November 16-án megszűnik a DSA algoritmus alapú hostkulcsok támogatása. 2022. január 11-én a régi SSH-algoritmusok támogatása és a titkosítatlan hívás lehetősége kísérleti jelleggel ideiglenesen meg fog szűnni. Március 15-én a régi algoritmusok támogatása véglegesen le lesz tiltva.
Továbbá megjegyzendő, hogy az OpenSSH kódalapjába bekerült egy változtatás, amely alapértelmezés szerint letiltja az SHA-1 hashelésű RSA-kulcsok feldolgozását („ssh-rsa”). Az SHA-256 és SHA-512 hashelt RSA-kulcsok (rsa-sha2-256/512) változatlanok maradtak. Az „ssh-rsa” kulcsok támogatásának megszüntetése a meghatározott prefixel végzett ütközési támadások hatékonyságának növelésével függ össze (az ütközés megtalálásának költsége körülbelül 50 ezer dollárra tehető). Az „ssh-rsa” alkalmazásának ellenőrzéséhez a rendszereikben megpróbálhatnak csatlakozni SSH-n, a „-oHostKeyAlgorithms=-ssh-rsa” opcióval.
Forrás: opennet.ru
