Mae rhyddhau OpenSSH 8.8 wedi'i gyhoeddi, gweithrediad agored cleient a gweinydd ar gyfer gweithio gan ddefnyddio'r protocolau SSH 2.0 a SFTP. Mae'r datganiad yn nodedig am analluogi yn ddiofyn y gallu i ddefnyddio llofnodion digidol yn seiliedig ar allweddi RSA gyda hash SHA-1 (“ssh-rsa”).
Daw'r gefnogaeth i lofnodion “ssh-rsa” i ben oherwydd bod ymosodiadau gwrthdrawiad yn fwy effeithlon gyda rhagddodiad penodol (amcangyfrifir mai tua $50 mil yw'r gost o ddewis gwrthdrawiad). I brofi'r defnydd o ssh-rsa ar eich systemau, gallwch geisio cysylltu trwy ssh gyda'r opsiwn “-oHostKeyAlgorithms= -ssh-rsa”. Mae cefnogaeth ar gyfer llofnodion RSA gyda hashes SHA-256 a SHA-512 (rsa-sha2-256/512), sy'n cael eu cefnogi ers OpenSSH 7.2, yn parhau'n ddigyfnewid.
Yn y rhan fwyaf o achosion, ni fydd terfynu cefnogaeth ar gyfer “ssh-rsa” yn gofyn am unrhyw gamau gweithredu â llaw gan ddefnyddwyr, gan fod gan OpenSSH y gosodiad UpdateHostKeys yn flaenorol wedi'i alluogi yn ddiofyn, sy'n mudo cleientiaid yn awtomatig i algorithmau mwy dibynadwy. Ar gyfer mudo, mae'r estyniad protocol “[e-bost wedi'i warchod]" , gan ganiatáu i'r gweinydd, ar ôl dilysu, hysbysu'r cleient am yr holl allweddi gwesteiwr sydd ar gael. Rhag ofn cysylltu â gwesteiwyr gyda fersiynau hen iawn o OpenSSH ar ochr y cleient, gallwch ddychwelyd y gallu i ddefnyddio llofnodion “ssh-rsa” yn ddetholus trwy ychwanegu at ~/.ssh/config: Host old_hostname HostkeyAlgorithms +ssh-rsa PubkeyAcceptedAlgorithms + ssh-rsa
Mae'r fersiwn newydd hefyd yn datrys mater diogelwch a achosir gan sshd, gan ddechrau gydag OpenSSH 6.2, heb gychwyn y grŵp defnyddwyr yn iawn wrth weithredu'r gorchmynion a nodir yn y cyfarwyddebau AuthorizedKeysCommand ac AuthorizedPrincipalsCommand. Roedd y cyfarwyddebau hyn i fod i ganiatáu i orchmynion gael eu rhedeg o dan ddefnyddiwr gwahanol, ond mewn gwirionedd fe wnaethant etifeddu'r rhestr o grwpiau a ddefnyddir wrth redeg sshd. O bosibl, roedd yr ymddygiad hwn, ym mhresenoldeb rhai gosodiadau system, yn caniatáu i'r triniwr a lansiwyd ennill breintiau ychwanegol ar y system.
Mae'r nodyn rhyddhau newydd hefyd yn cynnwys rhybudd y bydd scp yn rhagosod i SFTP yn lle'r protocol SCP / RCP etifeddol. Mae SFTP yn defnyddio dulliau trin enwau mwy rhagweladwy ac nid yw'n defnyddio prosesu cregyn o batrymau glob mewn enwau ffeiliau ar ochr y gwesteiwr arall, sy'n creu problemau diogelwch. Yn benodol, wrth ddefnyddio SCP a RCP, mae'r gweinydd yn penderfynu pa ffeiliau a chyfeiriaduron i'w hanfon at y cleient, ac mae'r cleient yn gwirio cywirdeb enwau'r gwrthrychau a ddychwelwyd yn unig, sydd, yn absenoldeb gwiriadau priodol ar ochr y cleient, yn caniatáu'r gweinydd i drosglwyddo enwau ffeiliau eraill sy'n wahanol i'r rhai y gofynnwyd amdanynt. Nid oes gan y protocol SFTP y problemau hyn, ond nid yw'n cefnogi ehangu llwybrau arbennig fel “~/”. Er mwyn mynd i'r afael â'r gwahaniaeth hwn, cyflwynodd datganiad blaenorol OpenSSH estyniad protocol SFTP newydd i'r llwybrau ~/ a ~ defnyddiwr/ yng ngweithrediad gweinydd SFTP.
Ffynhonnell: opennet.ru