מפתח RSA SSH הפרטי של GitHub נחשף בטעות במאגר ציבורי

GitHub, חברת בת של מיקרוסופט החליפה את מפתחות ה-SSH שלה לאחר שמישהו פרסם בטעות את חלק מפתח המארח הפרטי של RSA SSH של ערכת ההצפנה במאגר GitHub פתוח.

בעוד שחלקם עשויים לקפוץ בבהלה, בהנחה שהמפתחות הפרטיים נחשפו עקב ה כוונת זדון של שחקן איוםלמען האמת, זה התרחש בגלל טעות אנוש. ישנן גרסאות פרטיות וציבוריות של מפתחות SSH, ולמרות שניתן לשתף או לפרסם מפתחות ציבוריים, חיוני שמפתחות פרטיים יישמרו... ובכן, פרטיים. למרות ש-GitHub לא חשף מי פרסם את המפתחות או היכן הם פורסמו, מנהלי מערכת פרסמו בבלוג שלהם והסבירו את המצב.

"השבוע, גילינו שהמפתח הפרטי RSA SSH של GitHub.com נחשף לזמן קצר במאגר GitHub ציבורי. מיד פעלנו כדי להכיל את החשיפה והתחלנו לחקור כדי להבין את הסיבה וההשפעה השורשית. כעת השלמנו את החלפת המפתח, והמשתמשים יראו את השינוי מתפשט במהלך שלושים הדקות הבאות." GitHub נאמר בפוסט בבלוג.

GitHub החליף את מפתח המארח RSA SSH כדי להגן על המשתמשים שלהם מפני האפשרות שיריב ראה את המפתח הפרטי. שחקני איומים יכולים להשתמש בו כדי לפקח על פעולות המשתמשים או להתחזות ל-GitHub לצורך התקפות עוקבות. 

הפוסט בבלוג הסביר כי השינוי אינו משפיע על נתוני לקוחות, אינו דורש שינוי עבור ECDSA או Ed25519, או את התשתית של GitHub - רק הפעולות "על SSH באמצעות RSA".

אם משתמשים רואים הודעת אזהרה, הם יצטרכו להסיר מפתחות ישנים באמצעות שלוש אפשרויות: עדכון ידני של הקובץ כדי להסיר את הערך הישן; הפעלת פקודה חדשה ש-GitHub רשמה בבלוג שלה; או באמצעות עדכונים אוטומטיים אם אלה מופעלים. ברגע שהמשתמשים יראו את טביעת האצבע עם הכיתוב "SHA256:uNiVztksCsDhcc0u9e8BujQXVUpKZIDTMczCvj3tD2s", הם יוודאו שהמארחים שלהם מחוברים למפתח RSA SSH החדש.