OpenSSH 9.0 er nu tilgængelig; det er en åben implementering af klient og server til brug med SSH 2.0 og SFTP-protokoller. I den nye version er scp-værktøjet som standard overført til at bruge SFTP i stedet for den forældede SCP/RCP-protokol.
I SFTP anvendes mere forudsigelige metoder til behandling af navne, og der anvendes ikke glob-mønsterbehandling af filnavne gennem shell på den anden værts side, hvilket kan skabe sikkerhedsproblemer. Specifikt vil SCP og RCP-serveren beslutte, hvilke filer og mapper der skal sendes til klienten, mens klienten kun kontrollerer korrektheden af de returnerede objekt navne, hvilket, uden de rette kontroller fra klientens side, kan server resultere i overførsel af andre filnavne, der adskiller sig fra de anmodede.
SFTP-protokollen er fri for disse problemer, men understøtter ikke udvidelsen af specielle stier, såsom «~/». For at afhjælpe denne forskel understøtter SFTP-serverimplementeringen i OpenSSH 8.7 nu protokoludvidelsen «expand-path@openssh.com» for at udvide stier ~/{ og ~user/.
Ved brug af SFTP kan brugerne også støde på inkompatibiliteter, der skyldes behovet for dobbelt udslip af specialtegn i sti-udvidelsesforespørgsler i SCP og RCP for at forhindre deres fortolkning på den fjerne side. I SFTP er sådan udslip ikke nødvendigt, og unødvendige citationstegn kan føre til overførselsfejl. Herudover har OpenSSH's udviklere afvist at tilføje en udvidelse for at gentage scp's opførsel i dette tilfælde, da dobbelt udslip betragtes som en ulempe, der ikke bør gentages.
Andre ændringer i den nye version:
- I ssh og sshd er den hybride nøgleudvekslingsalgoritme «sntrup761x25519-sha512@openssh.com» (ECDH/x25519 + NTRU Prime) som standard aktiveret; den er modstandsdygtig over for brute-force angreb fra kvantecomputere og kombineret med ECDH/x25519 for at blokere potentielle problemer i NTRU Prime, der kan opstå i fremtiden. I rækkefølgen KexAlgorithms, der definerer rækkefølgen af metoder til nøgleudveksling, er den nævnte algoritme nu placeret øverst og har højere prioritet end algoritmerne ECDH og DH.
Kvantcomputere har endnu ikke nået et niveau, der muliggør at knække traditionelle nøgler, men anvendelsen af hybridbeskyttelse vil beskytte brugerne mod angreb relateret til opbevaring af opsnappede SSH-sessioner med den tanke, at de kan blive dechifreret i fremtiden, når de nødvendige kvantcomputere er tilgængelige.
- I sftp-serveren er der tilføjet udvidelsen «copy-data», som gør det muligt at kopiere data på serversiden uden transitafsendelse til klienten, hvis den originale og den målrettede fil befinder sig på samme sted. serveren.
- I sftp-værktøjet er kommandoen «cp» tilføjet for at initere filkopiering fra klienten på serversiden.
Kilde: opennet.ru
