GitHub zablokoval SSH kľúče používateľov Git klientov, ktorí na generovanie kľúčov používajú JavaScript knižnicu keypair. Napríklad, zablokované boli kľúče Git klienta GitKraken. Zraniteľnosť vedie k vytváraniu predvídateľných RSA kľúčov kvôli chybe, ktorá výrazne znižuje kvalitu entropie pri generovaní náhodnej sekvencie pre kľúče. Problém bol odstránený vo verziách keypair 1.0.4 a GitKraken 8.0.1.
Príčinou zraniteľnosti bolo použitie v procese generovania kľúča volania „b.putByte(String.fromCharCode(next & 0xFF))“, pričom metóda putByte bola ešte raz volaná pomocou metódy fromCharCode. Dvojité volanie fromCharCode („String.fromCharCode( String.fromCharCode(next & 0xFF) )“) viedlo k tomu, že väčšina Buffera s entropiou bola vyplnená nulami, t.j. kľúč bol generovaný na základe „náhodných“ údajov, z 97 % pozostávajúcich z núl.
Zdroj: opennet.ru
