Byla představena nová verze OpenSSH 9.0, open source implementace klienta a serveru pro práci s protokoly SSH 2.0 a SFTP. V nové verzi byla utility scp ve výchozím nastavení převedena na používání SFTP místo zastaralého protokolu SCP/RCP.
V SFTP jsou použity předvídatelnější metody zpracování názvů a není využívána manipulace s glob vzory v názvech souborů přes shell na druhém hostiteli, což vytváří bezpečnostní problémy. Konkrétně, při použití SCP a RCP server rozhoduje o tom, které soubory a složky má odeslat klientovi, zatímco klient pouze kontroluje správnost vrácených názvů objektů, což v případě nedostatečných kontrol na straně klienta umožňuje serveru předat jiné názvy souborů, které se liší od požadovaných.
Protokol SFTP nemá uvedené problémy, ale nepodporuje rozbalení speciálních cest, jako je „~/“. K odstranění tohoto rozdílu bylo od verze OpenSSH 8.7 v implementaci SFTP serveru přidáno rozšíření protokolu „expand-path@openssh.com“ pro rozbalení cest ~/ a ~user/.
Při používání SFTP se uživatelé mohou také setkat s nekompatibilitou, která je způsobena nutností dvojitého escapingu speciálních znaků rozbalení cest v dotazech SCP a RCP, aby se předešlo jejich interpretaci na vzdálené straně. V SFTP takové escapování není nutné a zbytečné uvozovky mohou vést k chybě přenosu dat. Při tom vývojáři OpenSSH odmítli přidání rozšíření pro opakování chování scp v tomto případě, protože dvojité escapování je považováno za nedostatek, který nemá smysl opakovat.
Další změny v novém vydání:
- V ssh a sshd je ve výchozím nastavení zapnutý hybridní algoritmus výměny klíčů „sntrup761x25519-sha512@openssh.com“ (ECDH/x25519 + NTRU Prime), odolný vůči pokusům o prolomení na kvantových počítačích a kombinovaný s ECDH/x25519 pro blokování možných problémů v NTRU Prime, které se mohou v budoucnu objevit. V seznamu KexAlgorithms, který určuje pořadí výběru metod výměny klíčů, je nyní zmíněný algoritmus uveden na prvním místě a je prioritnější než algoritmy ECDH a DH.
Kvantové počítače zatím nedosáhly úrovně, která by umožnila prolomení tradičních klíčů, ale použití hybridní ochrany ochrání uživatele před útoky spojenými s uchováváním zachycených SSH relací s očekáváním, že je bude možné dešifrovat v budoucnu, až budou k dispozici potřebné kvantové počítače.
- Do sftp-serveru bylo přidáno rozšíření „copy-data“, které umožňuje kopírovat data na straně serveru, aniž by musela být zasílána klientovi, pokud se původní a cílový soubor nacházejí na stejném. serveru.
- Do nástroje sftp byla přidána příkaz „cp“ pro iniciaci kopírování souborů na straně serveru ze strany klienta.
Zdroj: opennet.ru
