GitHub har blockerat SSH-nycklar som genererats med hjälp av biblioteket keypair.

GitHub har blockerat SSH-nycklar för användare av Git-klienter som använder JavaScript-biblioteket keypair för att generera nycklar. Till exempel har nycklar för Git-klienten GitKraken hamnat under blockad. Säkerhetsbristen leder till att förutsägbara RSA-nycklar skapas på grund av ett fel som märkbart minskar kvalitén på entropin vid generering av slumpmässiga sekvenser för nycklar. Problemet har åtgärdats i versioner av keypair 1.0.4 och i GitKraken 8.0.1.

Anledningen till att sårbarheten uppstod var användningen av anropet "b.putByte(String.fromCharCode(next & 0xFF))" vid nyckelgenereringen, medan metoden putByte anropade metoden fromCharCode igen. Det dubbla anropet av fromCharCode ("String.fromCharCode(String.fromCharCode(next & 0xFF))") ledde till att stora delar av bufferten med entropi fylldes med nollor, vilket innebär att nyckeln genererades baserat på "slumptal" som till 97 % bestod av nollor.

Källa: opennet.ru