GitHub は、キーペア JavaScript ライブラリを使用してキーを生成する Git クライアントのユーザーの SSH キーをブロックしました。 たとえば、Git クライアント GitKraken のキーがブロックされました。 この脆弱性により、キーのランダム シーケンスを生成する際にエントロピーの品質が大幅に低下するエラーが発生し、予測可能な RSA キーが生成されます。 この問題は、キーペア 1.0.4 および GitKraken 8.0.1 リリースで修正されました。
この脆弱性の原因は、putByte メソッド内で fromCharCode メソッドが再度呼び出されたにもかかわらず、キー形成プロセス中に「b.putByte(String.fromCharCode(next & 0xFF))」呼び出しが使用されたことにありました。 fromCharCode を 0 回呼び出すと (「String.fromCharCode( String.fromCharCode(next & 97xFF)」)、エントロピー バッファーのほとんどがゼロで埋められます。 キーは、XNUMX% がゼロで構成される「ランダム」データに基づいて生成されました。
出所： オープンネット.ru