GitHub کی نجی RSA SSH کلید غلطی سے پبلک ریپوزٹری میں بے نقاب ہو گئی۔

GitHub، مائیکروسافٹ کے ذیلی ادارے نے اپنی SSH کیز کو تبدیل کر دیا ہے جب کسی نے نادانستہ طور پر ایک کھلی GitHub ریپوزٹری میں انکرپشن سکیم کا نجی RSA SSH ہوسٹ کلیدی حصہ شائع کر دیا۔

کچھ لوگ خطرے کی گھنٹی میں چھلانگ لگا سکتے ہیں، یہ فرض کرتے ہوئے کہ نجی چابیاں کی وجہ سے بے نقاب ہوگئیں۔ دھمکی آمیز اداکار کا بدنیتی پر مبنی ارادہ، حقیقت میں، یہ انسانی غلطی کی وجہ سے ہوا ہے۔ SSH کیز کے پرائیویٹ اور پبلک ورژنز ہیں، اور اگرچہ پبلک کیز کو شیئر یا شائع کیا جا سکتا ہے، لیکن یہ ضروری ہے کہ پرائیویٹ کیز کو رکھا جائے … ٹھیک ہے، پرائیویٹ۔ اگرچہ GitHub نے یہ انکشاف نہیں کیا ہے کہ چابیاں کس نے شائع کیں یا وہ کہاں شائع ہوئیں، منتظمین نے اپنے بلاگ پر صورتحال کی وضاحت کرتے ہوئے پوسٹ کیا۔

"اس ہفتے، ہم نے دریافت کیا کہ GitHub.com کی RSA SSH نجی کلید کو عوامی GitHub ذخیرہ میں مختصر طور پر بے نقاب کیا گیا تھا۔ ہم نے فوری طور پر نمائش پر قابو پانے کے لیے کام کیا اور اصل وجہ اور اثر کو سمجھنے کے لیے تحقیقات شروع کر دیں۔ اب ہم نے کلیدی تبدیلی مکمل کر لی ہے، اور صارفین اگلے تیس منٹ میں تبدیلی کو پھیلتے ہوئے دیکھیں گے۔ GitHub نے بلاگ پوسٹ میں کہا۔

GitHub نے اپنے صارفین کو اس امکان سے بچانے کے لیے RSA SSH ہوسٹ کلید کو تبدیل کر دیا کہ کسی مخالف نے نجی کلید دیکھ لی تھی۔ دھمکی آمیز اداکار اسے استعمال کرنے والوں کے کاموں کی نگرانی کے لیے استعمال کر سکتے ہیں یا فالو آن حملوں کے لیے GitHub کی نقالی کر سکتے ہیں۔ 

بلاگ پوسٹ نے وضاحت کی کہ تبدیلی کسی بھی صارف کے ڈیٹا کو متاثر نہیں کرتی ہے، ECDSA یا Ed25519، یا GitHub کے انفراسٹرکچر کے لیے کسی تبدیلی کی ضرورت نہیں ہے — صرف "RSA کا استعمال کرتے ہوئے SSH پر" آپریشنز۔

اگر صارفین کو انتباہی پیغام نظر آتا ہے، تو انہیں تین اختیارات کے ذریعے پرانی چابیاں ہٹانے کی ضرورت ہوگی: پرانی اندراج کو ہٹانے کے لیے فائل کو دستی طور پر اپ ڈیٹ کرنا؛ ایک نئی کمانڈ چلا رہا ہے جسے GitHub نے اپنے بلاگ پر درج کیا ہے۔ یا خودکار اپ ڈیٹس کے ذریعے اگر وہ آن ہیں۔ ایک بار جب صارفین فنگر پرنٹ دیکھتے ہیں جس میں لکھا ہوتا ہے "SHA256:uNiVztksCsDhcc0u9e8BujQXVUpKZIDTMczCvj3tD2s"، تو وہ تصدیق کر لیں گے کہ ان کے میزبان نئی RSA SSH کلید سے منسلک ہیں۔