GitHub heeft aangekondigd wijzigingen in de service door te voeren die verband houden met het versterken van de beveiliging van het Git-protocol dat wordt gebruikt bij het uitvoeren van git push- en git pull-operaties via SSH of het 'git://' schema (toevoegingen via https:// blijven onaangetast). Na de implementatie van deze wijzigingen is minimaal OpenSSH versie 7.2 (uitgebracht in 2016) of PuTTY versie 0.75 (uitgebracht in mei van dit jaar) vereist voor verbinding met GitHub via SSH. Bijvoorbeeld, de compatibiliteit met de SSH-client die deel uitmaakt van CentOS 6 en Ubuntu 14.04 zal verbroken worden, waarvoor de ondersteuning al is beƫindigd.
De wijzigingen houden in dat er geen ondersteuning meer is voor onbeveiligde verzoeken aan Git (via 'git://') en de vereisten voor de SSH-sleutels die bij GitHub worden gebruikt, worden aangescherpt. GitHub zal alle DSA-sleutels en verouderde SSH-algoritmen, zoals CBC-cijfers (aes256-cbc, aes192-cbc, aes128-cbc) en HMAC-SHA-1, niet langer ondersteunen. Daarnaast worden extra vereisten voor nieuwe RSA-sleutels geĆÆntroduceerd (toepassing van SHA-1 zal verboden worden) en wordt er ondersteuning voor gastsleutels ECDSA en Ed25519 geĆÆmplementeerd.
De wijzigingen zullen geleidelijk worden doorgevoerd. Op 14 september zullen nieuwe gastsleutels ECDSA en Ed25519 worden gegenereerd. Op 2 november zal de ondersteuning voor nieuwe RSA-sleutels op basis van SHA-1 worden beƫindigd (eerder gegenereerde sleutels blijven functioneren). Op 16 november zal de ondersteuning voor gastsleutels op basis van het DSA-algoritme worden stopgezet. Op 11 januari 2022 zal de ondersteuning voor oude SSH-algoritmen en onbeveiligde toegang tijdelijk als experiment worden stopgezet. Op 15 maart zal de ondersteuning voor oude algoritmen definitief worden uitgeschakeld.
Daarnaast kan worden opgemerkt dat er in de codebasis van OpenSSH een wijziging is doorgevoerd die de verwerking van RSA-sleutels op basis van SHA-1 ('ssh-rsa') standaard uitschakelt. De ondersteuning voor RSA-sleutels met SHA-256 en SHA-512 (rsa-sha2-256/512) blijft ongewijzigd. De beƫindiging van de ondersteuning voor 'ssh-rsa' sleutels is het gevolg van de verhoogde effectiviteit van collisaanvallen met een gegeven prefix (de kosten voor het vinden van een botsing worden geschat op ongeveer 50.000 dollar). Om te controleren of ssh-rsa in uw systemen wordt toegepast, kunt u proberen verbinding te maken via ssh met de optie '-oHostKeyAlgorithms=-ssh-rsa'.
Bron: opennet.ru
