A GitHub úgy döntött, hogy megszünteti a TLS 1.0 és 1.1 protokollok támogatását az NPM csomagjainak tárolójában és az összes olyan webhelyen, amely a NPM csomagkezelőhöz kapcsolódik, beleértve az npmjs.com-ot is. Október 4-től a tárolóhoz való csatlakozáshoz, beleértve a csomagok telepítését, TLS 1.2 vagy újabb támogatású kliens szükséges. Maga a GitHub már 2018 februárjában megszüntette a TLS 1.0/1.1 támogatását. Az indoklás a szolgáltatások biztonságának és a felhasználói adatok védelmének megőrzésére vonatkozik. A GitHub adatai szerint az NPM tárolójára tett körülbelül 99%-os keresést már TLS 1.2 vagy 1.3 protokollal végzik, és a Node.js 2013 óta támogatja a TLS 1.2-t (0.10-es kiadástól kezdve), ezért a változás csak egy kis részét érinti a felhasználóknak.
Emlékeztetünk, hogy a TLS 1.0 és 1.1 protokollokat hivatalosan az IETF (Internet Engineering Task Force) öregedő technológiáknak nyilvánította. A TLS 1.0 specifikációt 1999 januárjában tették közzé. Hét évvel később megjelent a TLS 1.1 frissítése, amely a biztonság javításait célozta, ideértve az inicializáló vektorok és a padding generálását. A TLS 1.0/1.1 fő problémáiként említik a modern titkosítók (például ECDHE és AEAD) támogatásának hiányát, valamint a régi titkosítók támogatására vonatkozó követelményeket, amelyek megbízhatósága a modern számítástechnika fejlődése révén megkérdőjeleződik (például a TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA támogatásának szükségessége, waarbij a integritás és az azonosítás ellenőrzésére MD5 és SHA-1 használatos). Az elavult algoritmusok támogatása már olyan támadásokhoz vezetett, mint a ROBOT, DROWN, BEAST, Logjam és FREAK. Mindazonáltal ezek a problémák nem voltak a protokollok közvetlen sebezhetőségei, és a megvalósítások szintjén zárták le őket. A TLS 1.0/1.1 protokollokban nincsenek kritikus sebezhetőségek, amelyeket gyakorlati támadásokhoz lehetne felhasználni.
Forrás: opennet.ru
