GitHub ले keypair लाइब्रेरी प्रयोग गरेर उत्पन्न SSH कुञ्जीहरू अवरुद्ध गरेको छ

GitHub ले Git क्लाइन्टहरूका प्रयोगकर्ताहरूका लागि SSH कुञ्जीहरू अवरुद्ध गरेको छ जसले कुञ्जीहरू उत्पन्न गर्न जाभास्क्रिप्ट लाइब्रेरी प्रयोग गर्दछ। उदाहरणका लागि, Git ग्राहक GitKraken को कुञ्जीहरू अवरुद्ध थिए। कुञ्जीहरूको लागि अनियमित अनुक्रम उत्पन्न गर्दा एन्ट्रोपीको गुणस्तरलाई उल्लेखनीय रूपमा कम गर्ने त्रुटिको कारणले जोखिमले भविष्यवाणी गर्न मिल्ने RSA कुञ्जीहरूको उत्पादनमा पुर्‍याउँछ। यो मुद्दा keypair 1.0.4 र GitKraken 8.0.1 रिलीजहरूमा फिक्स गरिएको थियो।

जोखिमको कारण "b.putByte(String.fromCharCode(next & 0xFF))" कलको प्रयोग थियो कुञ्जी गठन प्रक्रियाको क्रममा, यस तथ्यको बावजुद कि fromCharCode विधिलाई putByte विधिमा पुन: कल गरिएको थियो। CharCode बाट दुई पटक (“String.fromCharCode( String.fromCharCode(next & 0xFF)”) कल गर्दा धेरैजसो एन्ट्रोपी बफर शून्यले भरिएको हुन्छ, अर्थात्। कुञ्जी "अनियमित" डाटाको आधारमा उत्पन्न गरिएको थियो, 97% शून्यहरू समावेश गर्दछ।

स्रोत: opennet.ru