#PSA GitKraken Git-Hosted SSH

tl;dr: 截止 12 日凌晨一点 (UTC+8)，GitHub 已经作废了所有用户通过 7.6.x, 7.7.x 和 8.0.0 版本的 GitKraken 生成的 SSH 密钥，以及来自其它客户端软件的类似弱密钥。在以后，使用或添加此类弱密钥的行为也会被 GitHub 阻止。受影响用户应已经收到通知。

此处置并非因为 GitHub 的数据发生泄露。

GitKraken 亦就此事件通知了 Bitbucket、GitLab 及 Azure DevOps。这三个平台的受影响用户也应已经收到通知。请参见 [bb]、[gl]、[az] 三篇文章。

GitKraken 的 7.6.x, 7.7.x 和 8.0.0 版本所使用的依赖项 keypair 会生成较弱的 SSH key。如果您正在使用 GitKraken，请检查您最近通过 GitKraken 生成的 SSH 密钥。来自 GitKraken 的消息和解释请见 [1]。GitHu

https://github.blog/2021-10-11-github-security-update-revoking-weakly-generated-ssh-keys/

导致此问题的 keypair 的漏洞已被标记为 GHSA-3f99-hvg4-qjwj，详细描述在 [2]。这个漏洞的特点之一是会周期性生成重复的 RSA 密钥，因此问题较为严重。

1. https://www.gitkraken.com/blog/weak-ssh-key-issue-fix
2. https://github.com/juliangruber/keypair/security/advisories/GHSA-3f99-hvg4-qjwj

bb: https://bitbucket.org/blog/action-required-for-gitkraken-users-using-ssh
gl: https://about.gitlab.com/blog/2021/10/11/notice-for-gitkraken-users-with-gitlab/
az: https://devblogs.microsoft.com/devops/azure-devops-response-to-gitkraken-ssh-bug/