sshd-এ দুর্বলতা দূর করার সাথে OpenSSH 8.9 প্রকাশ করা

ছয় মাস বিকাশের পর, OpenSSH 8.9 প্রকাশ করা হয়েছে, SSH 2.0 এবং SFTP প্রোটোকলের উপর কাজ করার জন্য একটি ক্লায়েন্ট এবং সার্ভারের একটি উন্মুক্ত বাস্তবায়ন, উপস্থাপন করা হয়েছে। sshd-এর নতুন সংস্করণ একটি দুর্বলতা সংশোধন করে যা সম্ভাব্যভাবে অননুমোদিত অ্যাক্সেসের অনুমতি দিতে পারে। সমস্যাটি প্রমাণীকরণ কোডে একটি পূর্ণসংখ্যা ওভারফ্লো দ্বারা সৃষ্ট, কিন্তু শুধুমাত্র কোডের অন্যান্য যৌক্তিক ত্রুটিগুলির সাথে একত্রে ব্যবহার করা যেতে পারে।

এটির বর্তমান আকারে, বিশেষাধিকার বিচ্ছেদ মোড সক্ষম হলে দুর্বলতাকে কাজে লাগানো যাবে না, যেহেতু বিশেষাধিকার বিচ্ছেদ ট্র্যাকিং কোডে সম্পাদিত পৃথক চেক দ্বারা এর প্রকাশকে অবরুদ্ধ করা হয়েছে। 2002 সাল থেকে ওপেনএসএসএইচ 3.2.2 থেকে প্রিভিলেজ সেপারেশন মোড ডিফল্টরূপে সক্রিয় করা হয়েছে এবং 7.5 সালে প্রকাশিত OpenSSH 2017 প্রকাশের পর থেকে এটি বাধ্যতামূলক হয়েছে। উপরন্তু, OpenSSH-এর পোর্টেবল সংস্করণে রিলিজ 6.5 (2014) থেকে শুরু করে, পূর্ণসংখ্যা ওভারফ্লো সুরক্ষা পতাকা অন্তর্ভুক্ত করার সাথে সংকলন দ্বারা দুর্বলতা অবরুদ্ধ করা হয়।

অন্যান্য পরিবর্তন:

• sshd-এ OpenSSH-এর পোর্টেবল সংস্করণ MD5 অ্যালগরিদম (libxcrypt-এর মতো বাহ্যিক লাইব্রেরিগুলির সাথে লিঙ্ক করার অনুমতি দেয়) ব্যবহার করে হ্যাশিং পাসওয়ার্ডের জন্য নেটিভ সমর্থন সরিয়ে দিয়েছে।
• ssh, sshd, ssh-add, এবং ssh-agent ssh-agent-এ যোগ করা কীগুলির ফরওয়ার্ডিং এবং ব্যবহার সীমাবদ্ধ করার জন্য একটি সাবসিস্টেম প্রয়োগ করে। সাবসিস্টেম আপনাকে নিয়ম সেট করতে দেয় যা ssh-এজেন্টে কীভাবে এবং কোথায় কী ব্যবহার করা যেতে পারে তা নির্ধারণ করে। উদাহরণ স্বরূপ, হোস্ট scylla.example.org-এর সাথে সংযোগকারী যেকোন ব্যবহারকারীকে শুধুমাত্র প্রমাণীকরণ করতে ব্যবহার করা যেতে পারে এমন একটি কী যোগ করতে, হোস্ট cetus.example.org-এ ব্যবহারকারী পার্সিয়াস এবং হোস্ট charybdis.example.org-এ ব্যবহারকারী মেডিয়া একটি মধ্যবর্তী হোস্ট scylla.example.org এর মাধ্যমে পুনঃনির্দেশ সহ, আপনি নিম্নলিখিত কমান্ডটি ব্যবহার করতে পারেন: $ssh-add -h "[ইমেল সুরক্ষিত]» \ -h «scylla.example.org» \ -h «scylla.example.org>[ইমেল সুরক্ষিত]» \ ~/.ssh/id_ed25519
• ssh এবং sshd-এ, KexAlgorithms তালিকায় ডিফল্টভাবে একটি হাইব্রিড অ্যালগরিদম যোগ করা হয়েছে, যা কী এক্সচেঞ্জ পদ্ধতি নির্বাচন করা হয়েছে তা নির্ধারণ করে।[ইমেল সুরক্ষিত]"(ECDH/x25519 + NTRU প্রাইম), কোয়ান্টাম কম্পিউটারে নির্বাচন প্রতিরোধী। OpenSSH 8.9-এ, ECDH এবং DH পদ্ধতির মধ্যে এই আলোচনার পদ্ধতি যোগ করা হয়েছে, কিন্তু পরবর্তী রিলিজে এটি ডিফল্টরূপে সক্রিয় করার পরিকল্পনা করা হয়েছে।
• ssh-keygen, ssh, এবং ssh-agent ডিভাইস যাচাইয়ের জন্য ব্যবহৃত FIDO টোকেন কীগুলির পরিচালনা উন্নত করেছে, বায়োমেট্রিক প্রমাণীকরণের জন্য কীগুলি সহ।
• অনুমোদিত নাম তালিকা ফাইলে ব্যবহারকারীর নাম চেক করতে ssh-keygen-এ "ssh-keygen -Y match-principals" কমান্ড যোগ করা হয়েছে।
• ssh-add এবং ssh-agent ssh-এজেন্টে একটি পিন কোড দ্বারা সুরক্ষিত FIDO কী যোগ করার ক্ষমতা প্রদান করে (প্রমাণিকরণের সময় পিন অনুরোধটি প্রদর্শিত হয়)।
• ssh-keygen স্বাক্ষর তৈরির সময় হ্যাশিং অ্যালগরিদম (sha512 বা sha256) পছন্দ করার অনুমতি দেয়।
• ssh এবং sshd-এ, কর্মক্ষমতা উন্নত করতে, নেটওয়ার্ক ডেটা সরাসরি ইনকামিং প্যাকেটের বাফারে পড়া হয়, স্ট্যাকের মধ্যবর্তী বাফারিং বাইপাস করে। একটি চ্যানেল বাফারে প্রাপ্ত ডেটার সরাসরি বসানো একইভাবে প্রয়োগ করা হয়।
• ssh-এ, PubkeyAuthentication নির্দেশিকা সমর্থিত প্যারামিটারের তালিকা প্রসারিত করেছে (হ্যাঁ|না|আনবাউন্ড|হোস্ট-বাউন্ড) ব্যবহার করার জন্য প্রোটোকল এক্সটেনশন নির্বাচন করার ক্ষমতা প্রদান করতে।

ভবিষ্যতের রিলিজে, আমরা লিগ্যাসি SCP/RCP প্রোটোকলের পরিবর্তে SFTP ব্যবহার করার জন্য scp ইউটিলিটির ডিফল্ট পরিবর্তন করার পরিকল্পনা করছি। SFTP আরও অনুমানযোগ্য নাম পরিচালনার পদ্ধতি ব্যবহার করে এবং অন্য হোস্টের ফাইলের নামগুলিতে গ্লোব প্যাটার্নের শেল প্রক্রিয়াকরণ ব্যবহার করে না, যা নিরাপত্তা সমস্যা তৈরি করে। বিশেষ করে, SCP এবং RCP ব্যবহার করার সময়, সার্ভার ক্লায়েন্টকে কোন ফাইল এবং ডিরেক্টরি পাঠাতে হবে তা নির্ধারণ করে এবং ক্লায়েন্ট শুধুমাত্র ফেরত আসা বস্তুর নামগুলির সঠিকতা পরীক্ষা করে, যা ক্লায়েন্টের পক্ষ থেকে সঠিক চেকের অনুপস্থিতিতে অনুমতি দেয়। সার্ভার অন্য ফাইল নাম স্থানান্তর করতে যা অনুরোধ করা থেকে ভিন্ন। SFTP প্রোটোকলের এই সমস্যা নেই, কিন্তু বিশেষ পাথ যেমন “~/” সম্প্রসারণ সমর্থন করে না। এই পার্থক্যটি সমাধান করার জন্য, ~/ এবং ~ ব্যবহারকারী/ পাথগুলিকে প্রসারিত করার জন্য SFTP সার্ভারের বাস্তবায়নে OpenSSH-এর পূর্ববর্তী প্রকাশে SFTP প্রোটোকলের একটি নতুন এক্সটেনশন প্রস্তাব করা হয়েছিল।

উত্স: opennet.ru