GitHub ਨੇ ਕੀ-ਪੇਅਰ ਲਾਇਬ੍ਰੇਰੀ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਤਿਆਰ ਕੀਤੀਆਂ SSH ਕੁੰਜੀਆਂ ਨੂੰ ਬਲੌਕ ਕਰ ਦਿੱਤਾ ਹੈ

GitHub ਨੇ Git ਕਲਾਇੰਟਸ ਦੇ ਉਪਭੋਗਤਾਵਾਂ ਲਈ SSH ਕੁੰਜੀਆਂ ਨੂੰ ਬਲੌਕ ਕੀਤਾ ਹੈ ਜੋ ਕੁੰਜੀਆਂ ਬਣਾਉਣ ਲਈ ਕੀ-ਪੇਅਰ JavaScript ਲਾਇਬ੍ਰੇਰੀ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ। ਉਦਾਹਰਨ ਲਈ, Git ਕਲਾਇੰਟ GitKraken ਦੀਆਂ ਕੁੰਜੀਆਂ ਬਲੌਕ ਕੀਤੀਆਂ ਗਈਆਂ ਸਨ। ਕਮਜ਼ੋਰੀ ਇੱਕ ਗਲਤੀ ਦੇ ਕਾਰਨ ਪੂਰਵ ਅਨੁਮਾਨਯੋਗ RSA ਕੁੰਜੀਆਂ ਦੇ ਉਤਪਾਦਨ ਵੱਲ ਲੈ ਜਾਂਦੀ ਹੈ ਜੋ ਕੁੰਜੀਆਂ ਲਈ ਇੱਕ ਬੇਤਰਤੀਬ ਕ੍ਰਮ ਬਣਾਉਣ ਵੇਲੇ ਐਨਟ੍ਰੋਪੀ ਦੀ ਗੁਣਵੱਤਾ ਨੂੰ ਮਹੱਤਵਪੂਰਣ ਰੂਪ ਵਿੱਚ ਘਟਾਉਂਦੀ ਹੈ। ਕੀ-ਪੇਅਰ 1.0.4 ਅਤੇ GitKraken 8.0.1 ਰੀਲੀਜ਼ਾਂ ਵਿੱਚ ਮੁੱਦਾ ਹੱਲ ਕੀਤਾ ਗਿਆ ਸੀ।

ਕਮਜ਼ੋਰੀ ਦਾ ਕਾਰਨ ਕੁੰਜੀ ਬਣਾਉਣ ਦੀ ਪ੍ਰਕਿਰਿਆ ਦੌਰਾਨ “b.putByte(String.fromCharCode(next & 0xFF))” ਕਾਲ ਦੀ ਵਰਤੋਂ ਸੀ, ਇਸ ਤੱਥ ਦੇ ਬਾਵਜੂਦ ਕਿ fromCharCode ਵਿਧੀ ਨੂੰ ਪੁਟਬਾਈਟ ਵਿਧੀ ਵਿੱਚ ਦੁਬਾਰਾ ਕਾਲ ਕੀਤਾ ਗਿਆ ਸੀ। CharCode ਤੋਂ ਦੋ ਵਾਰ ਕਾਲ ਕਰਨ (“String.fromCharCode( String.fromCharCode(next & 0xFF)”) ਦੇ ਨਤੀਜੇ ਵਜੋਂ ਜ਼ਿਆਦਾਤਰ ਐਂਟਰੋਪੀ ਬਫਰ ਜ਼ੀਰੋ ਨਾਲ ਭਰੇ ਹੋਏ ਹਨ, ਜਿਵੇਂ ਕਿ ਕੁੰਜੀ "ਬੇਤਰਤੀਬ" ਡੇਟਾ ਦੇ ਅਧਾਰ ਤੇ ਤਿਆਰ ਕੀਤੀ ਗਈ ਸੀ, 97% ਵਿੱਚ ਜ਼ੀਰੋ ਸ਼ਾਮਲ ਹਨ।

ਸਰੋਤ: opennet.ru