GitHub ka bllokuar çelësat SSH të përdoruesve të klientëve Git që përdorin bibliotekën JavaScript keypair për të gjeneruar çelësat. Për shembull, çelësat e klientit GitKraken kanë rënë nën bllokadë. Kjo dobësi çon në formimin e çelësave RSA të parashikueshëm për shkak të një gabimi që ndjeshëm ul cilësinë e entropisë gjatë gjenerimit të sekuencave rastësore për çelësat. Problemi është zgjidhur në versionet keypair 1.0.4 dhe GitKraken 8.0.1.
Arsyeja e shfaqjes së dobësisë është përdorimi gjatë formimit të çelësit të thirrjes «b.putByte(String.fromCharCode(next & 0xFF))», kurse në metodën putByte thirret përsëri metoda fromCharCode. Thirrja e dyfishtë e fromCharCode («String.fromCharCode( String.fromCharCode(next & 0xFF) )») bëri që pjesa më e madhe e tamponit me entropi të ishte e mbushur me zeros, dmth çelësi u gjenerua mbi bazën e të dhënave «rastësore», të cilat përbëheshin nga 97% zeros.
Burimi: opennet.ru
