Michael Johnsonبدأت GitHub اليوم، 14 أكتوبر 2026، تطبيق تغييرين على SSH: يجب ألا يقل طول مفاتيح RSA الجديدة المرفوعة عن 3072 بت، كما يجري تفعيل خوارزمية تبادل المفاتيح المقاومة للحوسبة الكمومية mlkem768x25519-sha256 لبعض الاتصالات. تنطبق التغييرات على اتصالات SSH؛ ولا يحتاج مستخدمو Git عبر HTTPS إلى تغيير إعداداتهم بسبب هذا الإعلان.
يشير إعلان GitHub الصادر في 22 سبتمبر إلى أن الخوارزمية ستتاح على github.com وGitHub Enterprise Cloud مع Data Residency، باستثناء منطقة الولايات المتحدة. وهذا يعني أن المنصة بدأت دعمها؛ أما الاستخدام الفعلي للخوارزمية الجديدة فيعتمد أيضًا على عميل SSH وإعداداته.
ما الذي يتغير تحديدًا؟
اعتبارًا من 14 أكتوبر، يجب ألا يقل طول مفاتيح RSA الجديدة المرفوعة لاستخدام SSH عن 3072 بت. ولا يلزم تغيير مفاتيح RSA الحالية لمجرد طولها؛ إذ توصي GitHub باستخدام توقيعات RSA-SHA-2 معها، إما rsa-sha2-256 أو rsa-sha2-512. وتوصي الشركة أيضًا في وثائقها باستخدام Ed25519 للمفاتيح الجديدة متى كان هذا النوع مناسبًا لبيئة العمل.
أما التغيير الثاني فيتعلق بالتفاوض على مفتاح الجلسة. تجمع mlkem768x25519-sha256 بين ML-KEM، وهي خوارزمية مقاومة للحوسبة الكمومية لتغليف المفاتيح، وX25519. ووفقًا لخطة GitHub، ستتمكن العملاء المتوافقة والمضبوطة لتفضيل هذه الخوارزمية من اختيارها تلقائيًا. أما العملاء الأقدم، فينبغي أن تنتقل إلى خوارزمية مدعومة للتوافق.
ما الذي ينبغي للفريق التحقق منه؟
- تحديد طريقة الاتصال. تحقق من عناوين Git remote: فالمدخلات التي تبدأ بـ
https://لا تتأثر بتغييرات SSH. وبالنسبة إلى SSH، تحقق من العملاء والمكتبات وعمليات التكامل المستخدمة. - التحقق من توقيعات RSA. تأكد من أن العميل والمكتبة المستخدمة يدعمان RSA-SHA-2. وتحدد GitHub الحد الأدنى لإصدارات تطبيقات شائعة، منها OpenSSH 7.2p1 وGo SSH 0.16.0 وlibssh2 1.11.0.
- التحقق من المفاتيح الجديدة. إذا كانت سياسة المؤسسة تشترط RSA، فيجب ألا يقل طول المفتاح الجديد عن 3072 بت. وبالنسبة إلى مفتاح RSA المرفوع بالفعل، فالأهم هو دعم خوارزمية التوقيع، لا إنشاء بديل لمجرد هذا التغيير.
- التحقق من دعم ML-KEM في العميل. لا يضمن تحديث المنصة وحده أن يختار العميل المعني تبادل المفاتيح الجديد. تحقق أولًا من وثائقه وسلوكه عند الاتصال التجريبي؛ وبالنسبة إلى العملاء الأقدم، خطط للتحديث وفق الجدول الزمني المعتمد في المؤسسة.
وثمة مرحلة منفصلة ستبدأ لاحقًا: حددت GitHub يومي 4 نوفمبر و9 ديسمبر 2026 لإجراء اختبارات تعطيل توقيع RSA القديم باستخدام SHA-1 وآلية diffie-hellman-group-exchange-sha256، كما خططت للإزالة النهائية في 13 يناير 2027. لذلك ينبغي التعامل مع شرط طول مفاتيح RSA الجديدة المطبق اليوم ومع التخلي مستقبلًا عن الخوارزميات القديمة بوصفهما مهمتي ترحيل منفصلتين.
الأولوية العملية للفرق اليوم هي حصر عملاء SSH والتحقق من دعم RSA-SHA-2، ثم اختبار دعم ML-KEM على نحو منفصل. ولم يُعلن حتى الآن عن إتاحة الخوارزمية الجديدة للمستخدمين في الولايات المتحدة؛ في حين يسري بالفعل شرط حجم مفاتيح RSA الجديدة المرفوعة بعد 14 أكتوبر.