Складиштето на NPM ја отфрла поддршката за TLS 1.0 и 1.1

GitHub одлучи да ја прекине поддршката за TLS 1.0 и 1.1 во складиштето на пакети NPM и сите страници поврзани со NPM менаџерот на пакети, вклучувајќи го и npmjs.com. Почнувајќи од 4 октомври, за поврзување со складиштето, вклучително и инсталирање на пакети, ќе биде потребен клиент кој поддржува најмалку TLS 1.2. На самиот GitHub, поддршката за TLS 1.0/1.1 беше прекината уште во февруари 2018 година. Се вели дека мотивот е грижа за безбедноста на неговите услуги и доверливоста на податоците на корисниците. Според GitHub, околу 99% од барањата до складиштето NPM се веќе направени со користење на TLS 1.2 или 1.3, а Node.js вклучува поддршка за TLS 1.2 од 2013 година (од објавувањето 0.10), така што промената ќе влијае само на мал дел од корисници.

Да потсетиме дека протоколите TLS 1.0 и 1.1 се официјално класифицирани како застарени технологии од страна на IETF (Internet Engineering Task Force). Спецификацијата TLS 1.0 беше објавена во јануари 1999 година. Седум години подоцна, ажурирањето TLS 1.1 беше објавено со безбедносни подобрувања поврзани со генерирањето вектори за иницијализација и полнење. Меѓу главните проблеми на TLS 1.0/1.1 е недостатокот на поддршка за модерни шифри (на пример, ECDHE и AEAD) и присуството во спецификацијата на барање за поддршка на стари шифри, чија веродостојност е доведена во прашање во сегашната фаза на развој на компјутерска технологија (на пример, потребна е поддршка за TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA за проверка на интегритетот и автентикацијата користи MD5 и SHA-1). Поддршката за застарени алгоритми веќе доведе до напади како што се ROBOT, DROWN, BEAST, Logjam и FREAK. Сепак, овие проблеми не беа директно сметани за протоколни пропусти и беа решени на ниво на неговите имплементации. Самите протоколи TLS 1.0/1.1 немаат критични пропусти што може да се искористат за извршување на практични напади.

Извор: opennet.ru