GitHub Ganti Kunci SSH RSA untuk Melindungi Pengguna dari Potensi Ancaman

Photo by Roman Synkevych 🇺🇦 on Unsplash

Pada tanggal 24 Maret pukul 05:00 UTC, GitHub mengganti kunci SSH RSA host mereka yang digunakan untuk mengamankan operasi Git di GitHub.com. Langkah ini diambil untuk melindungi pengguna dari kemungkinan adanya penyerang yang mencoba menyamar sebagai GitHub atau menyadap operasi Git mereka melalui SSH. Kunci ini tidak memberikan akses ke infrastruktur GitHub atau data pelanggan. Perubahan ini hanya mempengaruhi operasi Git melalui SSH yang menggunakan RSA. Lalu lintas web ke GitHub.com dan operasi Git HTTPS tidak terpengaruh.

Hanya kunci SSH RSA GitHub.com yang diganti. Tidak ada perubahan yang diperlukan bagi pengguna ECDSA atau Ed25519.

Berikut terjemahan dari Blog Github mengenai pergantian kunci SSH RSA:

Apa yang terjadi dan tindakan apa yang telah kami ambil? Pekan ini, kami menemukan bahwa kunci pribadi SSH RSA GitHub.com terpapar secara singkat di repositori GitHub publik. Kami segera mengambil tindakan untuk mengatasi paparan ini dan mulai menyelidiki untuk memahami penyebab dan dampaknya. Kami telah menyelesaikan penggantian kunci, dan pengguna akan melihat perubahan ini dalam waktu 30 menit ke depan. Beberapa pengguna mungkin telah melihat kunci baru ini sejak pukul 02:30 UTC saat persiapan penggantian kunci ini.

Perlu dicatat bahwa masalah ini bukan hasil dari kompromi sistem GitHub atau informasi pelanggan. Sebaliknya, paparan ini adalah hasil dari apa yang kami yakini sebagai penerbitan informasi pribadi secara tidak sengaja. Kami tidak memiliki alasan untuk percaya bahwa kunci yang terpapar disalahgunakan dan mengambil tindakan ini hanya sebagai tindakan pencegahan.

Apa yang dapat Anda lakukan Jika Anda menggunakan kunci ECDSA atau Ed25519 kami, Anda tidak akan melihat perubahan apa pun dan tidak perlu mengambil tindakan apa pun.

Jika Anda melihat pesan berikut saat terhubung ke GitHub.com melalui SSH, silakan baca lebih lanjut.

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ @ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @ @@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ 
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY! Someone could be eavesdropping on you right now (man-in-the-middle attack)! It is also possible that a host key has just been changed. The fingerprint for the RSA key sent by the remote host is SHA256:uNiVztksCsDhcc0u9e8BujQXVUpKZIDTMczCvj3tD2s. Please contact your system administrator. Add correct host key in ~/.ssh/known_hosts to get rid of this message. Host key for github.com has changed and you have requested strict checking. Host key verification failed.

Jika Anda melihat pesan di atas, Anda perlu menghapus kunci lama dengan menjalankan perintah ini:

$ ssh-keygen -R github.com

Atau secara manual memperbarui file ~/.ssh/known_hosts Anda untuk menghapus entri lama.

Kemudian, Anda dapat secara manual menambahkan baris berikut untuk menambahkan entri kunci publik SSH RSA baru ke file ~/.ssh/known_hosts Anda:

github.com ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABgQCj7ndNxQowgcQnjshcLrqPEiiphnt+VTTvDP6mHBL9j1aNUkY4Ue1gvwnGLVlOhGeYrnZaMgRK6+PKCUXaDbC7qtbW8gIkhL7aGCsOr/C56SJMy/BCZfxd1nWzAOxSDPgVsmerOBYfNqltV9/hWCqBywINIR+5dIg6JTJ72pcEpEjcYgXkE2YEFXV1JHnsKgbLWNlhScqb2UmyRkQyytRLtL+38TGxkxCflmO+5Z8CSSNY7GidjMIZ7Q4zMjA2n1nGrlTDkzwDCsw+wqFPGQA179cnfGWOWRVruj16z6XyvxvjJwbz0wQZ75XK5tKSb7FNyeIEs4TT4jk+S4dhPeAUC5y+bDYirYgM4GC7uEnztnZyaVWQ7B381AK4Qdrwt51ZqExKbQpTUNn+EjqoTwvqNj4kqx5QUCI0ThS/YkOxJCXmPUWZbhjpCg56i+2aB6CmK2JGhn57K5mj0MNdBXA4/WnwH6XoPWJzK5Nyu2zB3nAZp+S5hpQs+p1vN1/wsjk=

Atau secara otomatis memperbarui kunci RSA SSH GitHub.com di file ~/.ssh/known_hosts Anda, dengan menjalankan perintah berikut di terminal Anda:

$ ssh-keygen -R github.com $ curl -L https://api.github.com/meta | jq -r '.ssh_keys | .[]' | sed -e 's/^/github.com /' >> ~/.ssh/known_hosts

Anda dapat memverifikasi bahwa host Anda terhubung melalui kunci RSA SSH baru kami dengan mengonfirmasi bahwa Anda melihat sidik jari berikut:

SHA256:uNiVztksCsDhcc0u9e8BujQXVUpKZIDTMczCvj3tD2s

Teman-teman developer jangan lupa untuk melakukan langkah2 di atas ya.

Berikut link ke Blog resmi dari Github. Silakan click disini