Публикуван е релиз OpenSSH 9.9, отворена реализация на клиента и сървъра за работа с протоколите SSH 2.0 и SFTP. Основни изменения:
- В ssh и sshd е добавена поддръжка на хибридния алгоритъм за обмен на ключове «mlkem768x25519-sha256», устойчив на подбиране на квантов компютър, представляващ комбинация от X25519 ECDH и алгоритъма ML-KEM (CRYSTALS-Kyber), който наскоро бе стандартизиран от Националния институт по стандарти и технологии на САЩ (NIST). ML-KEM използва методи на криптография, базирани на решаване на проблеми от теорията на решетките, времето за решаване на които не се различава на обикновени и квантови компютри.
- В конфигурационния файл sshd_config е добавено ключовото слово «RefuseConnection», при задаването на което sshd ще прекратява връзките след първия опит за удостоверяване. В директивата PerSourcePenalties е добавен клас «refuseconnection», който се прилага при прекратяване на връзката след сработване на «RefuseConnection».
- В клиента ssh е прекратена поддръжката на компресия на данни преди преминаване на удостоверяването, което значително увеличава повърхността на атака върху SSH сървъри и създава рискове от използването на косвени методи за анализ на информацията, изпращана по време на удостоверяването. В сървър sshd компресията преди удостоверяването беше изключена по-рано.
- В ssh и sshd при анализирането на аргументите на директивата «Match» са използвани правила подобни на shell правила за работа с низове, заключени в кавички, поддържащи вложено обрамчване и екраниране с помощта на символа «\».
- В конфигурационния файл ssh_config в директивата «Include» е осигурена поддръжка на променливи на средата и «%»-замествания, подобни на директивата «Match Exec».
- В sshd_config в директивата Match е добавена опцията «invalid-user», сработваща при опит за вход с невалидно потребителско име.
- В ssh и sshd е използвана по-бърза реализация на алгоритъма «Streamlined NTRUPrime». За хибридния алгоритъм за обмен на ключове Streamlined NTRUPrime/X25519 е добавена възможност за използване на името «sntrup761x25519-sha512», в допълнение към специфичното за SSH име «sntrup761x25519-sha512@openssh.com».
- В ssh, sshd и ssh-agent е добавена защита от оседание на затворени ключове в core файловете, работеща в OpenBSD, Linux и FreeBSD.
- Обработката на ключове е прехвърлена на използване на API EVP_PKEY, предоставен от библиотеката libcrypto.
- В sshd е добавена случайна промяна на таймаута за свързване (LoginGraceTime) в пределите на 4 секунди, за да се затрудни определянето на изтичането на таймаута.
- Проблемите с компилацията с библиотеката Musl са разрешени.
Източник: opennet.ru
