След три месеца разработка релиз , открито изпълнение на клиент и сървър за работа по протоколите SSH 2.0 и SFTP.
В новата версия е добавена защита от атаки на scp, която позволява на сървъра да предава различни имена на файлове, отличаващи се от заявените (в отличие от , атаката не позволява смяна на избраната от потребителя директория или glob-маска). Напомняме, че в SCP сървърът взема решение относно това, кои файлове и директории да изпрати на клиента, а клиентът само проверява коректността на върнатите имена на обекти. Същността на открития проблем е, че ако системният повик utimes завърши с грешка, съдържанието на файла се интерпретира като метаданни на файла.
Тази особеност при свързване към сървър, контролиран от злоумышленик, може да бъде използвана за запазване в файловата система на потребителя на различни имена на файлове и на различно съдържание при копиране с помощта на scp в конфигурации, които водят до грешка при повикване на utimes (например, при забрана на utimes от политиката SELinux или от филтъра на системни повиквания). Вероятността за реални атаки се оценява като минимална, тъй като в типични конфигурации повикването на utimes не завършва с грешка. Освен това, атаката не остава незабелязана — при повикване на scp се показва грешка при пренасяне на данни.
Общи промени:
- В sftp е прекратена обработката на аргумента «-1» по аналогия с ssh и scp, който преди се приемаше, но игнорираше;
- В sshd при използване на IgnoreRhosts сега се предоставят три опции: «yes» — игнориране на rhosts/shosts, «no» — взимане под внимание на rhosts/shosts и «shosts-only» — разрешаване на «.shosts», но забрана на «.rhosts»;
- В ssh е осигурена обработка на подмяна %TOKEN в настройките LocalFoward и RemoteForward, използвани за пренасочване на Unix-сокети;
- Разрешена е загрузка на отворени ключове от незашифрован файл с приватен ключ, ако липсва отделен файл с отворен ключ;
- При наличие на libcrypto в системата, ssh и sshd сега използват реализацията на алгоритъма chacha20 от тази библиотека, вместо вградена преносима реализация, която изостава по производителност;
- Реализирана е възможност за дамп на съдържанието на бинарния списък на отзованите сертификати при изпълнение на командата «ssh-keygen -lQf /path»;
- В преносимата версия е реализирано определяне на системи, в които сигналите с опцията SA_RESTART прекъсват работата на select;
- Решени са проблемите с компилацията в системите HP/UX и AIX;
- Отстранени са проблемите с изграждането на seccomp песен в някои конфигурации на Linux;
- Подобрено е разпознаването на библиотеката libfido2 и са решени проблеми с изграждането при опция „—with-security-key-builtin“.
Разработчиците на OpenSSH отново предупредиха за предстоящото класифициране на алгоритмите, използващи хешове SHA-1, като остарели, поради ефективността на колизионните атаки с зададен префикс (цената за подбора на колизия се оценява приблизително на 45 хиляди долара). В едно от следващите издания планират да деактивират по подразбиране възможността за използване на алгоритъма за цифрови подписи с открит ключ «ssh-rsa», който се споменава в оригиналния RFC за протокола SSH и остава широко разпространен на практика (за проверка на приложението на ssh-rsa в своите системи може да опитате да се свържете по ssh с опция «-oHostKeyAlgorithms=-ssh-rsa»).
За улесняване на прехода към новите алгоритми в OpenSSH, в един от следващите версии по подразбиране ще бъде активирана настройката UpdateHostKeys, която ще позволи автоматично прехвърляне на клиентите към по-надеждни алгоритми. Препоръчваните алгоритми за миграция включват rsa-sha2-256/512 на базата на RFC8332 RSA SHA-2 (поддържа се от OpenSSH 7.2 и се използва по подразбиране), ssh-ed25519 (поддържа се от OpenSSH 6.5) и ecdsa-sha2-nistp256/384/521 на базата на RFC5656 ECDSA (поддържа се от OpenSSH 5.7).
От последното издание „ssh-rsa“ и „diffie-hellman-group14-sha1“ са премахнати от списъка CASignatureAlgorithms, определящ алгоритмите, допустими за цифрова подпись на нови сертификати, тъй като използването на SHA-1 в сертификатите е свързано с допълнителен риск, тъй като нападателят има неограничено време за търсене на колизии за съществуващ сертификат, докато времето за атака върху хостовите ключове е ограничено от таймаута за свързване (LoginGraceTime).
Източник: opennet.ru
