Представен е релиз OpenSSH 9.0, отворена реализация на клиент и сървър за работа с протоколите SSH 2.0 и SFTP. В новата версия, утилитата scp по подразбиране преминава на използване на SFTP вместо остарелия протокол SCP/RCP.
В SFTP се използват по-предсказуеми методи за обработка на имена и не се прилага обработка на glob-шаблони в имената на файловете чрез shell на друг хост, което създава проблеми със сигурността. По-специално, при използване на SCP и RCP, сървърът взема решения относно това, кои файлове и директории да изпрати на клиента, а клиентът само проверява коректността на върнатите имена на обектите, което при липса на адекватни проверки от страна на клиента позволява сървъра предаването на други имена на файлове, различни от заявените.
Протоколът SFTP е лишен от посочените проблеми, но не поддържа разкриването на специални пътища, като «~/». За да се отстрани това различие, от OpenSSH 8.7 в реализацията на SFTP-сървъра е поддържано разширение на протокола «expand-path@openssh.com» за разкриване на пътища ~/ и ~user/.
При използване на SFTP потребителите също могат да се сблъскат с несъвместимост, причинена от необходимостта от двойно екраниране на специални символи при разкриването на пътища в заявки за SCP и RCP, за да се предотврати тяхното интерпретиране на отдалечената страна. В SFTP такова екраниране не е необходимо и излишните кавички могат да доведат до грешка в предаването на данни. Въпреки това, разработчиците на OpenSSH се отказаха от добавянето на разширение за повтаряне на поведението на scp в този случай, тъй като двойното екраниране се разглежда като недостатък, който не е смисъл да се повтаря.
Други промени в новото издание:
- В ssh и sshd по подразбиране е включен хибридният алгоритъм за обмен на ключове «sntrup761x25519-sha512@openssh.com» (ECDH/x25519 + NTRU Prime), устойчив на подбиране от квантови компютри и съвместим с ECDH/x25519 за блокиране на възможни проблеми в NTRU Prime, които могат да се появят в бъдеще. В списъка KexAlgorithms, определящ реда на избор на методи за обмен на ключове, посоченият алгоритъм вече е поставен на първо място и е с по-висок приоритет от алгоритмите ECDH и DH.
Квантовите компютри все още не са достигнали ниво, позволяващо им да разбиват традиционни ключове, но прилагането на хибридна защита ще предпази потребителите от атаки, свързани със запазването на прихванати SSH сесии с надеждата, че те ще могат да бъдат дешифрирани в бъдеще, когато се появят необходимите квантови компютри.
- В sftp-server е добавено разширение „copy-data“, което позволява копиране на данни на страната на сървера, без транзитно изпращане до клиента, ако изходният и целевият файл се намират на едно и също място. сървър.
- В утилитата sftp е добавена команда „cp“ за иницииране от клиента на копиране на файлове на страната на сървера.
Източник: opennet.ru
