O GitHub anunciou mudanças no serviço relacionadas ao fortalecimento da proteção do protocolo Git, usado durante as operações git push e git pull via SSH ou o esquema "git://" (as solicitações via https:// não serão afetadas). Após a implementação das mudanças, será necessário ter pelo menos a versão 7.2 do OpenSSH (lançada em 2016) ou a versão 0.75 do PuTTY (lançada em maio deste ano) para se conectar ao GitHub via SSH. Por exemplo, a compatibilidade com o cliente SSH incluído no CentOS 6 e Ubuntu 14.04 será interrompida, já que o suporte para essas versões foi encerrado.
As mudanças são voltadas para a interrupção do suporte a conexões não criptografadas com o Git (via "git://") e o fortalecimento dos requisitos para as chaves SSH usadas ao acessar o GitHub. O GitHub interromperá o suporte a todas as chaves DSA e a algoritmos SSH desatualizados, como os cifradores CBC (aes256-cbc, aes192-cbc, aes128-cbc) e HMAC-SHA-1. Além disso, novos requisitos serão introduzidos para novas chaves RSA (o uso de SHA-1 será proibido) e o suporte a chaves de host ECDSA e Ed25519 será implementado.
As mudanças serão implementadas gradualmente. Em 14 de setembro, novas chaves de host ECDSA e Ed25519 serão geradas. Em 2 de novembro, o suporte a novas chaves RSA baseadas em SHA-1 será interrompido (chaves previamente geradas continuarão funcionando). Em 16 de novembro, o suporte a chaves de host baseadas no algoritmo DSA será finalizado. Em 11 de janeiro de 2022, como um experimento, o suporte a antigos algoritmos SSH e a possibilidade de conexões sem criptografia será temporariamente suspenso. Em 15 de março, o suporte aos antigos algoritmos será totalmente encerrado.
Além disso, notamos que o código base do OpenSSH foi modificado para desativar por padrão o tratamento de chaves RSA baseadas no hash SHA-1 ("ssh-rsa"). O suporte a chaves RSA com hashes SHA-256 e SHA-512 (rsa-sha2-256/512) permanece inalterado. A interrupção do suporte a chaves "ssh-rsa" é devida ao aumento da eficácia dos ataques de colisão com prefixo fixo (o custo para encontrar uma colisão é estimado em cerca de 50 mil dólares). Para verificar o uso de ssh-rsa em seus sistemas, você pode tentar se conectar via ssh com a opção "-oHostKeyAlgorithms=-ssh-rsa".
Fonte: opennet.ru
