GitHub เตรียมเลิกรองรับ ssh-rsa (SHA-1) บังคับ RSA key ใหม่อย่างน้อย 3072 บิต และเพิ่ม post-quantum key exchange ให้ SSH

วันที่ 22 กันยายน 2026 GitHub ประกาศชุดปรับความปลอดภัยของการเชื่อมต่อ Git ผ่าน SSH มีสามเรื่องหลัก คือถอด RSA signature แบบ SHA-1 (ประเภท ssh-rsa), ถอดกลไกแลกเปลี่ยนกุญแจ diffie-hellman-group-exchange-sha256 และเพิ่ม key exchange แบบ post-quantum คือ mlkem768x25519-sha256

วันที่ 14 ตุลาคม 2026 RSA SSH key ที่อัปโหลดใหม่ต้องมีขนาดอย่างน้อย 3072 บิต และวันเดียวกัน github.com กับ GitHub Enterprise Cloud with Data Residency (ยกเว้น region สหรัฐฯ) จะเปิดใช้ mlkem768x25519-sha256 ประกาศพูดถึงเฉพาะ key ที่อัปโหลดใหม่ ไม่ได้บอกว่า key RSA ขนาดเล็กที่มีอยู่แล้วจะเป็นอย่างไร

สำหรับ ssh-rsa และ diffie-hellman-group-exchange-sha256 GitHub จะทำ brownout หรือปิดชั่วคราวให้รู้ตัวก่อน รอบแรกวันที่ 4 พฤศจิกายน 2026 รอบสองวันที่ 9 ธันวาคม 2026 แล้วถอดออกถาวรวันที่ 13 มกราคม ฝั่ง GitHub Enterprise Server การเปลี่ยนแปลงทั้งหมดจะมาใน 3.25 ยกเว้น mlkem768x25519-sha256 ที่มาตั้งแต่ 3.24

ถ้า Git remote ขึ้นต้นด้วย https:// จะไม่โดนผลกระทบใด ๆ ส่วนคนใช้ SSH ด้วย RSA ให้ตรวจว่า client รองรับ RSA กับ SHA-2 (rsa-sha2-256 หรือ rsa-sha2-512) ซึ่ง client ที่รองรับจะเลือกให้เองอยู่แล้ว ถ้าจะสร้าง key ใหม่ GitHub แนะนำ Ed25519 เป็นหลัก หรือใช้ ECDSA ก็ได้

กลุ่มที่เสี่ยงพังจริงคือเครื่องหรือระบบเก่าที่ถูกลืม เช่น build server, deploy key หรืออุปกรณ์ที่ใช้ไลบรารี SSH รุ่นเก่าที่ยังพูดได้แค่ ssh-rsa แบบ SHA-1 ช่วง brownout เดือนพฤศจิกายนคือจังหวะที่จะได้รู้ว่ามีอะไรพึ่งพาอยู่บ้าง แต่ถ้าไล่ตรวจและเปลี่ยน key ไว้ก่อนจะไม่มีงานสะดุดเลย