GitHub ogłosił zmiany w usłudze związane ze wzmocnieniem bezpieczeństwa protokołu Git wykorzystywanego podczas operacji git push i git pull poprzez SSH lub schemat „git://” (zmiany nie będą miały wpływu na żądania poprzez https://). Gdy zmiany zaczną obowiązywać, połączenie z GitHub przez SSH będzie wymagało co najmniej OpenSSH w wersji 7.2 (wydanej w 2016 r.) lub PuTTY w wersji 0.75 (wydanej w maju tego roku). Na przykład zepsuta zostanie kompatybilność z klientem SSH zawartym w CentOS 6 i Ubuntu 14.04, które nie są już obsługiwane.
Zmiany obejmują usunięcie obsługi niezaszyfrowanych wywołań do Git (poprzez „git://”) i zwiększone wymagania dotyczące kluczy SSH używanych podczas dostępu do GitHub. GitHub przestanie obsługiwać wszystkie klucze DSA i starsze algorytmy SSH, takie jak szyfry CBC (aes256-cbc, aes192-cbc aes128-cbc) i HMAC-SHA-1. Ponadto wprowadzane są dodatkowe wymagania dla nowych kluczy RSA (zakaz używania SHA-1) oraz wdrażana jest obsługa kluczy hosta ECDSA i Ed25519.
Zmiany będą wprowadzane stopniowo. 14 września zostaną wygenerowane nowe klucze hosta ECDSA i Ed25519. 2 listopada zakończy się obsługa nowych kluczy RSA opartych na SHA-1 (wcześniej wygenerowane klucze będą nadal działać). 16 listopada zakończy się obsługa kluczy hostów opartych na algorytmie DSA. 11 stycznia 2022 r. w ramach eksperymentu tymczasowo zostanie wstrzymana obsługa starszych algorytmów SSH i możliwość dostępu bez szyfrowania. 15 marca obsługa starych algorytmów zostanie całkowicie wyłączona.
Dodatkowo możemy zauważyć, że w kodzie OpenSSH wprowadzono domyślną zmianę, która wyłącza przetwarzanie kluczy RSA w oparciu o skrót SHA-1 („ssh-rsa”). Obsługa kluczy RSA z skrótami SHA-256 i SHA-512 (rsa-sha2-256/512) pozostaje niezmieniona. Zaprzestanie obsługi kluczy „ssh-rsa” wynika ze zwiększenia efektywności ataków kolizyjnych z danym prefiksem (koszt wybrania kolizji szacuje się na około 50 tys. dolarów). Aby przetestować użycie ssh-rsa w swoich systemach, możesz spróbować połączyć się przez ssh z opcją „-oHostKeyAlgorithms=-ssh-rsa”.
Źródło: opennet.ru