GitHub שינה את המפתח הפרטי RSA עבור SSH לאחר שהוא נכנס למאגר הציבורי

GitHub דיווחה על תקרית שבה המפתח הפרטי RSA המשמש כמפתח המארח בעת גישה למאגרי GitHub דרך SSH פורסם בטעות למאגר נגיש לציבור. הדליפה השפיעה רק על מפתח ה-RSA; מפתחות ה-SSH המארח ECDSA ו-Ed25519 ממשיכים להישאר מאובטחים. מפתח מארח SSH זמין לציבור אינו מאפשר גישה לתשתית GitHub או לנתוני משתמש, אך ניתן להשתמש בו כדי ליירט פעולות Git המבוצעות באמצעות SSH.

כדי למנוע את האפשרות של יירוט של הפעלות SSH ל-GitHub אם מפתח ה-RSA ייפול לידיים של תוקפים, GitHub יזם תהליך החלפת מפתח. בצד המשתמש, יש צורך למחוק את המפתח הציבורי הישן של GitHub (ssh-keygen -R github.com) או להחליף ידנית את המפתח בקובץ ~/.ssh/known_hosts, שיכול לשבור סקריפטים המבוצעים אוטומטית.

מקור: OpenNet.ru