GitHub heeft besloten om de ondersteuning voor de protocollen TLS 1.0 en 1.1 in het NPM-pakketrepository en op alle websites die aan de NPM-pakketbeheerder zijn gerelateerd, waaronder npmjs.com, stop te zetten. Vanaf 4 oktober is een client die minimaal TLS 1.2 ondersteunt vereist om verbinding te maken met het repository, inclusief het installeren van pakketten. GitHub stopte de ondersteuning voor TLS 1.0/1.1 al in februari 2018. De motivatie is de zorg voor de veiligheid van hun diensten en de privacy van gebruikersgegevens. Volgens GitHub gebeurt ongeveer 99% van de verzoeken aan het NPM-repository inmiddels met TLS 1.2 of 1.3, terwijl Node.js vanaf versie 0.10 (uitgebracht in 2013) ook TLS 1.2 ondersteunt, dus de wijziging zal slechts een klein percentage gebruikers raken.
Ter herinnering: de protocollen TLS 1.0 en 1.1 zijn officieel geclassificeerd als verouderde technologieën door de IETF (Internet Engineering Task Force). De specificatie van TLS 1.0 werd gepubliceerd in januari 1999. Zeven jaar later werd TLS 1.1 uitgebracht met verbeteringen op het gebied van veiligheid, met betrekking tot de generatie van initialisatievectoren en padding. Een van de grootste problemen met TLS 1.0/1.1 is het ontbreken van ondersteuning voor moderne ciphers (zoals ECDHE en AEAD) en de aanwezigheid in de specificatie van vereisten voor ondersteuning van oudere ciphers, waarvan de betrouwbaarheid in de huidige computertechnologie in twijfel wordt getrokken (zoals de vereiste ondersteuning voor TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, waarbij MD5 en SHA-1 worden gebruikt voor integriteits- en authenticatiecontrole). De ondersteuning van verouderde algoritmes heeft al geleid tot aanvallen zoals ROBOT, DROWN, BEAST, Logjam en FREAK. Deze problemen waren echter geen directe kwetsbaarheden van het protocol, maar werden opgelost op het niveau van implementaties. De protocollen TLS 1.0/1.1 hebben geen kritieke kwetsbaarheden die kunnen worden gebruikt voor praktische aanvallen.
Bron: opennet.ru
