GitHub har annonserat ändringar i tjänsten relaterade till förstärkt säkerhet för Git-protokollet som används vid git push- och git pull-operationer via SSH eller "git://"-schemat (ändringarna påverkar inte HTTPS-anrop). Efter att ändringarna träder i kraft kommer det att krävas minst OpenSSH version 7.2 (släppt 2016) eller PuTTY version 0.75 (släppt i maj i år) för att ansluta till GitHub via SSH. Till exempel kommer kompatibiliteten att brytas med SSH-klienten från CentOS 6 och Ubuntu 14.04, vars stöd redan har upphört.
Ändringarna innebär att stöd för okrypterade anrop till Git (via "git://") upphör och att krav på SSH-nycklar som används för att ansluta till GitHub blir striktare. GitHub kommer att sluta stödja alla DSA-nycklar och föråldrade SSH-algoritmer, såsom CBC-krypteringar (aes256-cbc, aes192-cbc, aes128-cbc) och HMAC-SHA-1. Dessutom införs ytterligare krav för nya RSA-nycklar (användning av SHA-1 kommer att förbjudas) och stöd för ECDSA- och Ed25519-värdnycklar kommer att implementeras.
Ändringarna kommer att införas gradvis. Den 14 september kommer nya ECDSA- och Ed25519-värdnycklar att genereras. Den 2 november kommer stödet för nya RSA-nycklar baserade på SHA-1 att upphöra (tidigare genererade nycklar kommer att fortsätta att fungera). Den 16 november kommer stödet för värdnycklar baserade på DSA-algoritmen att upphöra. Den 11 januari 2022 kommer, som ett experiment, temporärt stöd för gamla SSH-algoritmer och okrypterad åtkomst att upphöra. Den 15 mars kommer stödet för gamla algoritmer att helt stängas av.
Det kan också noteras att en ändring har gjorts i OpenSSH-koden som som standard stänger av hanteringen av RSA-nycklar baserade på SHA-1-hash («ssh-rsa»). Stödet för RSA-nycklar med SHA-256 och SHA-512-hashar (rsa-sha2-256/512) har lämnats oförändrat. Upphörandet av stödet för "ssh-rsa"-nycklar beror på en ökad effektivitet av kollisionattacker med fördefinierad prefix (kostnaden för att generera en kollision uppskattas till cirka 50 000 dollar). För att kontrollera förekomsten av ssh-rsa i sina system kan man försöka ansluta via ssh med alternativet "-oHostKeyAlgorithms=-ssh-rsa".
Källa: opennet.ru
