Tag: weak

GitHub 移除 HTTPS 中的 TLSv1/TLSv1.1，以及 SSH 中 SHA1 相關的協定

GitHub 完全移除掉 TLSv1/TLSv1.1 以及 SSH 中 SHA1 相關的協定了：「Weak cryptographic standards removed」。其中 TLSv1 與 TLSv1.1 的部份也可以從 SSL Report: github.com 這邊看到：

這是之前就預告的關閉，可以參考先前提到的文章：「GitHub 停用過時加密演算法的計畫」。

對 GitHub 的 Public Key 分析

在 Hacker News Daily 上看到有人針對 GitHub 上的 Public Key 分析：「Auditing GitHub users’ SSH key quality」。

這個分析主要用的是 GitHub 的 .keys 功能取得：

A little known feature of GitHub is the ability to look at the public SSH keys that other users have set to be authorised on their account (for example https://github.com/torvalds.keys)

作者從去年 2014 年 12 月 27 日跑到今年 2015 年 1 月 9 日，共取得了 1376262 把 public key，然後就針對這些 key 分析。

「The Debian bug bites again」這一段講的是 CVE-2008-0166 (可以參考「該換 ssh keys 了」這篇的說明)，發現即使是七年後的現在，也還是有問題。

另外還有 256 bits 與 512 bits 的 RSA key，作者自己建立了一把測試，用 i5-2400 只要 25 分鐘就可以解出 256 bits 的 private key：

This risk isn’t only real if someone had gathered together top of the line mathematicians or supercomputers worth of power, the 256 bit key I factored was factored on a i5-2400 in 25 mins.

NSA 應該都摸透了...

作者提供的時間線：

[27th December 2014] Key Crawl Started
[28th Feb 2015] Disclosed low bits issue to a peer at GitHub
[1st March 2015] Discovered the weak Debian Keys (and disclosed)
[5th May 2015] Debian keys revoked, emails sent out
[1st June 2015] Weak and low quality keys revoked