Spoločnosť GitHub sa rozhodla ukončiť podporu protokolov TLS 1.0 a 1.1 v repozitári balíčkov NPM a na všetkých stránkach súvisiacich s správcom balíkov NPM, vrátane npmjs.com. Od 4. októbra bude potrebné na pripojenie k repozitáru, vrátane inštalácie balíčkov, použiť klienta s podporou minimálne TLS 1.2. Na samotnom GitHub boli protokoly TLS 1.0/1.1 zastavené už vo februári 2018. Motiváciou na toto rozhodnutie je starostlivosť o bezpečnosť ich služieb a ochranu údajov používateľov. Podľa údajov GitHubu približne 99% požiadaviek na repozitár NPM už prebieha s použitím TLS 1.2 alebo 1.3, pričom Node.js zahrnutý podporu TLS 1.2 od roku 2013 (s vydaním 0.10), takže zmena sa dotkne len malej časti používateľov.
Nezabúdajme, že protokoly TLS 1.0 a 1.1 boli oficiálne klasifikované komisiou IETF (Internet Engineering Task Force) ako zastarané technológie. Špecifikácia TLS 1.0 bola publikovaná v januári 1999. O sedem rokov neskôr bolo vydané vylepšenie TLS 1.1 so zlepšeniami v oblasti bezpečnosti, týkajúcimi sa generovania inicializačných vektorov a doplnkového vyplnenia. Medzi hlavné problémy TLS 1.0/1.1 patrí absencia podpory moderných šifrovaní (napr. ECDHE a AEAD) a existencia požiadaviek na podporu starých šifrovaní, ktorých spoľahlivosť na súčasnom stupni vývoja výpočtovej techniky vyvoláva pochybnosti (napr. vyžaduje sa podpora TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, pričom na overenie integrity a autentizáciu sa používa MD5 a SHA-1). Podpora zastaraných algoritmov už viedla k útokom ako ROBOT, DROWN, BEAST, Logjam a FREAK. Napriek tomu tieto problémy neboli priamo zraniteľnosťami protokolu a boli uzatvorené na úrovni jeho implementácií. V samotných protokoloch TLS 1.0/1.1 neexistujú kritické zraniteľnosti, ktoré by mohli byť využité na vykonanie praktických útokov.
Zdroj: opennet.ru
