GitHub ги блокираше клучевите SSH генерирани со помош на библиотеката со пар клучеви

GitHub ги блокираше клучевите SSH за корисниците на Git-клиентите кои ја користат библиотеката JavaScript со пар клучеви за да генерираат клучеви. На пример, клучевите на клиентот Git GitKraken беа блокирани. Ранливоста води до генерирање на предвидливи RSA клучеви поради грешка што значително го намалува квалитетот на ентропијата при генерирање на случајна секвенца за копчињата. Проблемот беше поправен во изданијата на пар клучеви 1.0.4 и GitKraken 8.0.1.

Причината за ранливоста беше употребата на повикот „b.putByte(String.fromCharCode(next & 0xFF))“ за време на процесот на формирање клуч, и покрај фактот што методот fromCharCode беше повторно повикан во методот putByte. Повикувањето од CharCode двапати („String.fromCharCode( String.fromCharCode(next & 0xFF)“) резултираше со тоа што поголемиот дел од тампонот на ентропијата беше исполнет со нули, т.е. клучот е генериран врз основа на „случајни“ податоци, 97% се состои од нули.

Извор: opennet.ru