GitHub heeft melding gedaan van een incident waarbij een gesloten RSA-sleutel, die werd gebruikt als host-sleutel voor toegang tot GitHub-repositories via SSH, per ongeluk werd gepubliceerd in een openbaar beschikbare repository. De lek betreft alleen de RSA-sleutel; de host-SSH-sleutels ECDSA en Ed25519 blijven veilig. De openbaar gemaakte host-SSH-sleutel geeft geen toegang tot de infrastructuur van GitHub of de gegevens van gebruikers, maar kan worden gebruikt om Git-operaties die via SSH worden uitgevoerd, af te luisteren.
Om mogelijke afluistering van SSH-sessies naar GitHub te voorkomen in het geval de RSA-sleutel in de handen van kwaadwillenden valt, heeft GitHub een proces voor sleutelvervanging gestart. Aan de zijde van de gebruikers is het nodig om de oude openbare sleutel van GitHub te verwijderen (ssh-keygen -R github.com) of handmatig de sleutel te vervangen in het bestand ~/.ssh/known_hosts, wat de werking van automatisch uitgevoerde scripts kan verstoren.
Bron: opennet.ru
