A GitHub decidiu encerrar o suporte aos protocolos TLS 1.0 e 1.1 no repositório de pacotes NPM e em todos os sites relacionados ao gerenciador de pacotes NPM, incluindo npmjs.com. A partir de 4 de outubro, será necessário um cliente que suporte pelo menos TLS 1.2 para se conectar ao repositório, incluindo a instalação de pacotes. O próprio GitHub já havia encerrado o suporte ao TLS 1.0/1.1 em fevereiro de 2018. A motivação é uma preocupação com a segurança de seus serviços e a privacidade dos dados dos usuários. Segundo a GitHub, cerca de 99% das solicitações ao repositório NPM já são feitas usando TLS 1.2 ou 1.3, e o Node.js inclui o suporte ao TLS 1.2 desde 2013 (desde sua versão 0.10), portanto, a mudança afetará apenas uma pequena parte dos usuários.
Vale lembrar que os protocolos TLS 1.0 e 1.1 foram oficialmente classificados como tecnologias obsoletas pelo comitê IETF (Internet Engineering Task Force). A especificação do TLS 1.0 foi publicada em janeiro de 1999. Sete anos depois, foi lançada a atualização TLS 1.1 com melhorias de segurança relacionadas à geração de vetores de inicialização e preenchimento adicional. Entre os principais problemas do TLS 1.0/1.1 está a falta de suporte a criptografias modernas (como ECDHE e AEAD) e a presença de requisitos de suporte a criptografias antigas, cuja confiabilidade na fase atual do desenvolvimento computacional é questionável (por exemplo, exige-se o suporte ao TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, e MD5 e SHA-1 são utilizados para verificação de integridade e autenticação). O suporte a algoritmos obsoletos já levou ao surgimento de ataques como ROBOT, DROWN, BEAST, Logjam e FREAK. No entanto, esses problemas não eram vulnerabilidades diretas do protocolo e eram tratadas no nível de suas implementações. Os próprios protocolos TLS 1.0/1.1 não possuem vulnerabilidades críticas que possam ser exploradas para a realização de ataques práticos.
Fonte: opennet.ru
