OpenSSH 10.5 er blevet offentliggjort, en åbent kildekode-implementering af klient og server til arbejde med SSH 2.0 og SFTP protokoller. De vigtigste ændringer:
- Den bærbare version af OpenSSH kræver nu, at der er støtte for kryptografi baseret på elliptiske kurver (ECC - Elliptic Curve Cryptography) i biblioteket libcrypto, inklusive støtte for den elliptiske kurve NISTP521. I implementationer af libcrypto fra projekterne LibreSSL, OpenSSL, BoringSSL og AWS LC er denne støtte inkluderet som standard.
- I værktøjet ssh-keygen er der implementeret indstillingen af flagene touch-required og verify-required, der kræver bekræftelse fra brugeren ved nulstilling af adgangskoder til private nøgler for FIDO tokens.
- I værktøjet ssh er rækkefølgen for anvendelse af certifikater til autentificering ved brug af offentlige nøgler ændret – nu anvendes FIDO-nøgler, der ikke kræver brugerhandlinger, i første omgang, mens nøgler, der kræver PIN-kode eller biometrisk verifikation, anvendes sidst.
- Der er tilføjet kommandoen «ssh -Z user», som viser nøgler i den rækkefølge, de anvendes til autentificering med offentlige nøgler.
- Sikkerhedsproblemer er blevet løst:
- Fejl i behandlingen af session binding-anmodninger ved blokering af SSH Agent, der førte til, at SSH Agent tillod fjernoperationer, som kun skulle være tilgængelige lokalt, såsom tilføjelse af PKCS#11 tokens og brug af nøgler bundet i indstillingerne til specifikke servere, er blevet rettet.
- I ssh-klienten er et potentielt hukommelsesproblem efter frigivelse (use-after-free) løst, der opstod ved multiplexing af SSH-forbindelser over en enkelt socket, når der blev tilføjet en ny portforwarding, mens klienten stadig ventede på server et svar på åbningen af den tidligere portforwarding.
- I sshd er korrekt brug af begrænsninger, angivet med flaget «restrict» i filen authorized_keys, blevet etableret for videresendte tunneler.
Kilde: opennet.ru
