GitHub ngumumkeun parobihan kana jasa anu aya hubunganana sareng nguatkeun kaamanan protokol Git anu dianggo nalika operasi git push sareng git pull via SSH atanapi skéma "git: //" (pamundut via https: // moal kapangaruhan ku parobahan). Sakali parobihan dikuatkeun, nyambungkeun ka GitHub via SSH ngabutuhkeun sahenteuna OpenSSH versi 7.2 (dirilis taun 2016) atanapi versi PuTTY 0.75 (dirilis dina Méi taun ieu). Salaku conto, kasaluyuan sareng klien SSH anu kalebet dina CentOS 6 sareng Ubuntu 14.04, anu henteu dirojong deui, bakal rusak.
Parobihan kalebet ngaleungitkeun dukungan pikeun telepon anu teu énkripsi ka Git (via "git: //") sareng paningkatan syarat pikeun konci SSH anu dianggo nalika ngaksés GitHub. GitHub bakal eureun ngadukung sadaya konci DSA sareng algoritma SSH warisan sapertos cipher CBC (aes256-cbc, aes192-cbc aes128-cbc) sareng HMAC-SHA-1. Sajaba ti éta, sarat tambahan keur diwanohkeun pikeun konci RSA anyar (pamakéan SHA-1 bakal dilarang) jeung rojongan pikeun ECDSA na Ed25519 konci host keur dilaksanakeun.
Parobahan bakal diwanohkeun sacara bertahap. Dina 14 Séptémber, konci host ECDSA sareng Ed25519 énggal bakal dihasilkeun. Dina 2 Nopémber, pangrojong pikeun konci RSA basis SHA-1 anyar bakal dileungitkeun (konci anu didamel sateuacana bakal terus jalan). Dina 16 Nopémber, dukungan pikeun konci host dumasar kana algoritma DSA bakal dileungitkeun. Dina 11 Januari 2022, dukungan pikeun algoritma SSH anu langkung lami sareng kamampuan pikeun ngaksés tanpa énkripsi bakal samentawis dileungitkeun salaku ékspérimén. Dina 15 Maret, dukungan pikeun algoritma lami bakal ditumpurkeun lengkep.
Salaku tambahan, urang tiasa dicatet yén parobihan standar parantos dilakukeun kana basis kode OpenSSH anu nganonaktipkeun ngolah konci RSA dumasar kana hash SHA-1 ("ssh-rsa"). Rojongan pikeun konci RSA sareng hashes SHA-256 sareng SHA-512 (rsa-sha2-256/512) tetep teu robih. Dieureunkeun rojongan pikeun konci "ssh-rsa" alatan ngaronjat efisiensi tina serangan tabrakan jeung awalan dibikeun (biaya milih tabrakan diperkirakeun dina 50 sarébu dollar). Pikeun nguji pamakean ssh-rsa dina sistem anjeun, anjeun tiasa nyobian nyambungkeun via ssh nganggo pilihan "-oHostKeyAlgorithm=-ssh-rsa".
sumber: opennet.ru