Издаване на OpenSSH 9.0 с прехвърляне на scp към SFTP протокола

Представена е версията на OpenSSH 9.0, отворена реализация на клиент и сървър за работа с протоколите SSH 2.0 и SFTP. В новата версия помощната програма scp е превключена по подразбиране да използва SFTP вместо остарелия SCP/RCP протокол.

SFTP използва по-предсказуеми методи за обработка на имена и не използва обработка на обвивката на глобални шаблони в имената на файлове от страната на другия хост, което създава проблеми със сигурността. По-специално, когато се използва SCP и RCP, сървърът решава кои файлове и директории да изпрати на клиента, а клиентът проверява само коректността на върнатите имена на обекти, което при липса на подходящи проверки от страна на клиента позволява на сървър за прехвърляне на други имена на файлове, които се различават от заявените.

Протокол SFTP лишён указанных проблем, но не поддерживает раскрытие спецпутей, таких как «~/». Для устранения данного различия начиная с OpenSSH 8.7 в реализации SFTP-сервера поддерживается расширение протокола «[имейл защитен]", за да разширите пътищата ~/ и ~user/.

Когато използват SFTP, потребителите могат също да срещнат несъвместимости, причинени от необходимостта от двойно екраниране на специални знаци за разширяване на пътя в SCP и RCP заявки, за да се предотврати интерпретирането им от отдалечената страна. В SFTP такова екраниране не се изисква и допълнителните кавички могат да доведат до грешка при прехвърляне на данни. В същото време разработчиците на OpenSSH отказаха да добавят разширение за възпроизвеждане на поведението на scp в този случай, така че двойното избягване се счита за недостатък, който няма смисъл да се повтаря.

Други промени в новата версия:

• В ssh и sshd по умолчанию включён гибридный алгоритм обмена ключами «[имейл защитен]„(ECDH/x25519 + NTRU Prime), устойчив на подбиране на квантови компютри и комбиниран с ECDH/x25519 за блокиране на възможни проблеми в NTRU Prime, които могат да възникнат в бъдеще. В списъка на KexAlgorithms, който определя реда, в който се избират методите за обмен на ключове, споменатият алгоритъм вече е поставен на първо място и има по-висок приоритет от алгоритмите ECDH и DH.

  Квантовите компютри все още не са достигнали нивото на кракване на традиционните ключове, но използването на хибридна сигурност ще защити потребителите от атаки, които включват съхраняване на прихванати SSH сесии с надеждата, че те могат да бъдат декриптирани в бъдеще, когато необходимите квантови компютри станат налични.

• Разширението „copy-data“ е добавено към sftp-сървър, което ви позволява да копирате данни от страната на сървъра, без да ги прехвърляте към клиента, ако изходните и целевите файлове са на един и същи сървър.
• Командата "cp" е добавена към sftp помощната програма, за да инициира клиента да копира файлове от страната на сървъра.

Източник: opennet.ru