GitHub GHE.com dừng TLS chỉ có X25519: rà proxy và runner trước 7/10

Bài viết này do AI tạo ra, có thể mắc sai sót.

GitHub sẽ dừng chấp nhận kết nối TLS chỉ chào nhóm trao đổi khóa X25519 trên GitHub Enterprise Cloud có data residency từ ngày 7/10/2026. Đây không phải sự cố TLS diện rộng, nhưng có thể làm HTTPS ngừng hoạt động với proxy, appliance hoặc thư viện đã bị khóa cấu hình quá hẹp.

Tóm tắt nhanh

Mốc thay đổi: 7/10/2026.
Phạm vi: chỉ GitHub Enterprise Cloud với data residency.
Client lỗi: client chỉ offer X25519 cho key agreement.
Nhóm còn hỗ trợ: P-256 (secp256r1) và P-384 (secp384r1).
SSH không bị ảnh hưởng.

Thay đổi TLS là gì?

TLS handshake cần hai phía thống nhất nhóm trao đổi khóa. Sau mốc nêu trên, endpoint thuộc GHE.com có data residency sẽ từ chối client chỉ đưa X25519. Client hiện đại thường đã chào P-256 nên đa số không cần làm gì; rủi ro nằm ở cấu hình hard-code trên proxy, TLS inspection, runtime cũ hoặc appliance bảo mật.

Những hệ thống cần rà

Rà đường HTTPS thật sự đi tới GitHub: runner CI, GitHub CLI, service gọi API, outbound proxy, WAF/TLS inspection và container base image. Đừng chỉ test browser trên laptop; browser có thể dùng TLS stack khác runner production. Ghi lại cipher/group đang được offer và thử handshake qua đúng proxy, đúng region data residency.

Cách xử lý trước 7/10

Nâng OS, runtime, GitHub CLI, proxy và thư viện TLS lên bản được hỗ trợ.
Bỏ policy “X25519 only”.
Bật P-256; có thể bật thêm P-384.
Test clone, API, Actions runner và webhook outbound sau thay đổi.
Giữ rollback cấu hình proxy nếu policy crypto nội bộ gây tương thích ngoài dự kiến.

Giới hạn cần hiểu đúng

GitHub nêu rõ thay đổi không áp dụng cho toàn bộ GitHub.com và không ảnh hưởng SSH. Bài này không đồng nghĩa X25519 có lỗ hổng; đây là thay đổi tương thích/phê duyệt nhóm key agreement ở endpoint có data residency.

Phân tích

Thay đổi nhỏ ở tầng TLS có thể thành outage lớn vì dependency chain thường bị che sau proxy hoặc CI runner. Rủi ro vận hành nằm ở client “only”, không phải client có X25519 cùng P-256/P-384. Đội DevOps nên biến kiểm tra supported groups thành kiểm thử định kỳ trước các đợt nâng TLS policy.

Với môi trường tuân thủ, cần đối chiếu policy mã hóa với yêu cầu FIPS nội bộ, nhưng không nên sửa hàng loạt mà không test. P-256/P-384 được GitHub xác nhận vẫn hỗ trợ cho endpoint này.