מאגר NPM מבטל את התמיכה ב-TLS 1.0 ו-1.1

GitHub החליטה להפסיק את התמיכה ב-TLS 1.0 ו-1.1 במאגר החבילות של NPM ובכל האתרים המשויכים למנהל החבילות של NPM, כולל npmjs.com. החל מה-4 באוקטובר, חיבור למאגר, כולל התקנת חבילות, ידרוש לקוח התומך ב-TLS 1.2 לפחות. ב-GitHub עצמו, התמיכה ב-TLS 1.0/1.1 הופסקה בפברואר 2018. המניע אמור להיות דאגה לאבטחת שירותיה ולסודיות נתוני המשתמשים. לפי GitHub, כ-99% מהבקשות למאגר NPM כבר מבוצעות באמצעות TLS 1.2 או 1.3, ו-Node.js כללה תמיכה ב-TLS 1.2 מאז 2013 (מאז שחרור 0.10), כך שהשינוי ישפיע רק על חלק קטן של משתמשים.

הבה נזכיר כי פרוטוקולי TLS 1.0 ו-1.1 סווגו רשמית כטכנולוגיות מיושנות על ידי IETF (Internet Engineering Task Force). מפרט TLS 1.0 פורסם בינואר 1999. שבע שנים מאוחר יותר, עדכון TLS 1.1 שוחרר עם שיפורי אבטחה הקשורים ליצירת וקטורי אתחול וריפוד. בין הבעיות העיקריות של TLS 1.0/1.1 היא היעדר תמיכה בצפנים מודרניים (למשל, ECDHE ו-AEAD) והימצאות במפרט של דרישה לתמיכה בצפנים ישנים, שאמינותם מוטלת בספק בשלב הנוכחי של פיתוח טכנולוגיית מחשוב (לדוגמה, נדרשת תמיכה ב-TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA כדי לבדוק את השלמות והאימות משתמש ב-MD5 וב-SHA-1). תמיכה באלגוריתמים מיושנים כבר הובילה להתקפות כמו ROBOT, DROWN, BEAST, Logjam ו-FREAK. עם זאת, בעיות אלו לא נחשבו ישירות לפגיעות פרוטוקול ונפתרו ברמת ההטמעות שלה. פרוטוקולי TLS 1.0/1.1 עצמם חסרים פרצות קריטיות שניתן לנצל לביצוע התקפות מעשיות.

מקור: OpenNet.ru