Firma GitHub postanowiła zaprzestać wsparcia dla protokołów TLS 1.0 i 1.1 w repozytorium pakietów NPM oraz na wszystkich stronach związanych z menedżerem pakietów NPM, w tym npmjs.com. Od 4 października, aby połączyć się z repozytorium, w tym w celu instalacji pakietów, wymagany będzie klient obsługujący przynajmniej TLS 1.2. Sam GitHub zakończył wsparcie dla TLS 1.0/1.1 już w lutym 2018 roku. Motywacją jest dbałość o bezpieczeństwo swoich usług i prywatność danych użytkowników. Według danych GitHub około 99% zapytań do repozytorium NPM jest już realizowanych przy użyciu TLS 1.2 lub 1.3, a Node.js obsługuje TLS 1.2 od 2013 roku (od wydania 0.10), dlatego zmiana wpłynie tylko na niewielką część użytkowników.
Przypominamy, że protokoły TLS 1.0 i 1.1 zostały oficjalnie uznane przez komitet IETF (Internet Engineering Task Force) za przestarzałe technologie. Specyfikacja TLS 1.0 została opublikowana w styczniu 1999 roku. Po siedmiu latach wydano aktualizację TLS 1.1 z poprawkami bezpieczeństwa związanymi z generowaniem wektorów inicjalizacji i dodatkowego wypełnienia. Wśród głównych problemów TLS 1.0/1.1 wymienia się brak wsparcia dla nowoczesnych szyfrów (np. ECDHE i AEAD) oraz obecność w specyfikacji wymogu obsługi starych szyfrów, których niezawodność w dzisiejszym etapie rozwoju techniki komputerowej jest wątpliwa (np. wymagana jest obsługa TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, do sprawdzenia integralności i autoryzacji używa się MD5 i SHA-1). Wsparcie przestarzałych algorytmów już prowadziło do pojawienia się takich ataków jak ROBOT, DROWN, BEAST, Logjam i FREAK. Niemniej jednak te problemy nie były bezpośrednio pod względem zabezpieczeń protokołu i były rozwiązywane na poziomie jego implementacji. W samych protokołach TLS 1.0/1.1 nie ma krytycznych podatności, które mogłyby być wykorzystane do przeprowadzania praktycznych ataków.
Źródło: opennet.ru
