GitHub รายงานเหตุการณ์ที่คีย์ RSA ส่วนตัวที่ใช้เป็นคีย์โฮสต์สำหรับการเข้าถึงที่เก็บข้อมูล GitHub ผ่าน SSH ถูกเผยแพร่โดยไม่ได้ตั้งใจในที่เก็บข้อมูลสาธารณะ การรั่วไหลนี้ส่งผลกระทบเฉพาะคีย์ RSA เท่านั้น คีย์ SSH โฮสต์ ECDSA และ Ed25519 ยังคงปลอดภัย คีย์ SSH โฮสต์ที่รั่วไหลนี้ไม่ได้อนุญาตให้เข้าถึงโครงสร้างพื้นฐานของ GitHub หรือข้อมูลผู้ใช้ แต่สามารถใช้เพื่อดักจับการดำเนินการ Git ที่ดำเนินการผ่าน SSH ได้
เพื่อป้องกันการโจรกรรมเซสชัน SSH ไปยัง GitHub หากคีย์ RSA ตกไปอยู่ในมือของผู้โจมตี GitHub จึงได้เริ่มกระบวนการเปลี่ยนคีย์ใหม่ ผู้ใช้ต้องลบคีย์สาธารณะ GitHub เก่า (ssh-keygen -R github.com) หรือเปลี่ยนคีย์ด้วยตนเองในไฟล์ ~/.ssh/known_hosts ซึ่งอาจรบกวนสคริปต์ที่ทำงานโดยอัตโนมัติ
ที่มา: opennet.ru
