GitHub har annonserat Àndringar i tjÀnsten relaterade till förstÀrkt sÀkerhet för Git-protokollet som anvÀnds vid git push- och git pull-operationer via SSH eller "git://"-schemat (Àndringarna pÄverkar inte HTTPS-anrop). Efter att Àndringarna trÀder i kraft kommer det att krÀvas minst OpenSSH version 7.2 (slÀppt 2016) eller PuTTY version 0.75 (slÀppt i maj i Är) för att ansluta till GitHub via SSH. Till exempel kommer kompatibiliteten att brytas med SSH-klienten frÄn CentOS 6 och Ubuntu 14.04, vars stöd redan har upphört.
Ăndringarna innebĂ€r att stöd för okrypterade anrop till Git (via "git://") upphör och att krav pĂ„ SSH-nycklar som anvĂ€nds för att ansluta till GitHub blir striktare. GitHub kommer att sluta stödja alla DSA-nycklar och förĂ„ldrade SSH-algoritmer, sĂ„som CBC-krypteringar (aes256-cbc, aes192-cbc, aes128-cbc) och HMAC-SHA-1. Dessutom införs ytterligare krav för nya RSA-nycklar (anvĂ€ndning av SHA-1 kommer att förbjudas) och stöd för ECDSA- och Ed25519-vĂ€rdnycklar kommer att implementeras.
Ăndringarna kommer att införas gradvis. Den 14 september kommer nya ECDSA- och Ed25519-vĂ€rdnycklar att genereras. Den 2 november kommer stödet för nya RSA-nycklar baserade pĂ„ SHA-1 att upphöra (tidigare genererade nycklar kommer att fortsĂ€tta att fungera). Den 16 november kommer stödet för vĂ€rdnycklar baserade pĂ„ DSA-algoritmen att upphöra. Den 11 januari 2022 kommer, som ett experiment, temporĂ€rt stöd för gamla SSH-algoritmer och okrypterad Ă„tkomst att upphöra. Den 15 mars kommer stödet för gamla algoritmer att helt stĂ€ngas av.
Det kan ocksÄ noteras att en Àndring har gjorts i OpenSSH-koden som som standard stÀnger av hanteringen av RSA-nycklar baserade pÄ SHA-1-hash («ssh-rsa»). Stödet för RSA-nycklar med SHA-256 och SHA-512-hashar (rsa-sha2-256/512) har lÀmnats oförÀndrat. Upphörandet av stödet för "ssh-rsa"-nycklar beror pÄ en ökad effektivitet av kollisionattacker med fördefinierad prefix (kostnaden för att generera en kollision uppskattas till cirka 50 000 dollar). För att kontrollera förekomsten av ssh-rsa i sina system kan man försöka ansluta via ssh med alternativet "-oHostKeyAlgorithms=-ssh-rsa".
KĂ€lla: opennet.ru
