GitHub חסם מפתחות SSH שנוצרו באמצעות ספריית צמד המפתחות

GitHub חסם מפתחות SSH עבור משתמשים של לקוחות Git המשתמשים בספריית JavaScript של צמד המפתחות כדי ליצור מפתחות. לדוגמה, המפתחות של לקוח Git GitKraken נחסמו. הפגיעות מובילה ליצירת מפתחות RSA הניתנים לחיזוי עקב שגיאה שמפחיתה משמעותית את איכות האנטרופיה בעת יצירת רצף אקראי עבור המפתחות. הבעיה תוקנה במהדורות Keypair 1.0.4 ו- GitKraken 8.0.1.

הסיבה לפגיעות הייתה השימוש בקריאה "b.putByte(String.fromCharCode(next & 0xFF))" במהלך תהליך יצירת המפתח, למרות העובדה ששיטת fromCharCode נקראה שוב בשיטת putByte. קריאה מ-CharCode פעמיים ("String.fromCharCode( String.fromCharCode(next & 0xFF)") הביאה לכך שרוב מאגר האנטרופיה התמלא באפסים, כלומר. המפתח נוצר על סמך נתונים "אקראיים", 97% מורכבים מאפסים.

מקור: OpenNet.ru