Efter fire m\u00e5neders udvikling pr\u00e6senteres OpenSSH 8.7, en open source-implementering af klient og server til arbejde med SSH 2.0 og SFTP protokoller. <\/p>\n
Vigtige \u00e6ndringer: <\/p>\n
\n
Der scp har f\u00e5et en eksperimentel dataoverf\u00f8rselsmetode ved hj\u00e6lp af SFTP-protokollen i stedet for den traditionelt anvendte SCP\/RCP-protokol. SFTP anvender mere forudsigelige metoder til h\u00e5ndtering af navne og anvender ikke glob-m\u00f8nsterbehandling gennem shell p\u00e5 den anden v\u00e6rt, hvilket skaber sikkerhedsproblemer. For at aktivere SFTP i scp er flagen \u00ab-s\u00bb foresl\u00e5et, men der planl\u00e6gges at overg\u00e5 til denne protokol som standard i fremtiden.\n
I sftp-serveren er der implementeret SFTP-protokoludvidelser til at afsl\u00f8re stierne ~ \/ og ~user \/, som er n\u00f8dvendige for scp.\n
I scp-nytteprogrammet er adf\u00e6rden \u00e6ndret ved kopiering af filer mellem to fjernv\u00e6rter (for eksempel \u00abscp host-a:\/path host-b:\u00bb), som nu som standard udf\u00f8res via en mellemst\u00e5ende lokal v\u00e6rt, ligesom n\u00e5r flagen \u00ab-3\u00bb er angivet. Den angivne tilgang undg\u00e5r at transmittere un\u00f8dvendige legitimationsoplysninger til den f\u00f8rste v\u00e6rt og tredobbelte fortolkninger af filnavne i shell (p\u00e5 kilde- og modtagersystemet samt lokal). Ved brug af SFTP kan alle autentifikationsmetoder anvendes ved adgang til fjernv\u00e6rter, ikke kun ikke-interaktive metoder. For at gendanne den gamle adf\u00e6rd er muligheden \u00ab-R\u00bb blevet tilf\u00f8jet.\n
I ssh er der tilf\u00f8jet en indstilling ForkAfterAuthentication, som svarer til flagen \u00ab-f\u00bb.\n
I ssh er der tilf\u00f8jet en indstilling StdinNull, som svarer til flagen \u00ab-n\u00bb.\n
I ssh er der tilf\u00f8jet en indstilling SessionType, hvormed man kan indstille tilstande svarende til flagerne \u00ab-N\u00bb (uden session) og \u00ab-s\u00bb (subsystem).\n
I ssh-keygen er det tilladt at angive n\u00f8glernes gyldighedsperiode i n\u00f8glefiler.\n
I ssh-keygen er flagen \u00ab-Oprint-pubkey\u00bb tilf\u00f8jet for at udskrive den komplette offentlige n\u00f8gle som en del af sshsig-signaturen.\n
I b\u00e5de ssh og sshd er b\u00e5de klient og server blevet omdirigeret til at bruge en mere streng parser for konfigurationsfilen, hvor der anvendes shell-lignende regler til h\u00e5ndtering af citationstegn, mellemrum og escape-tegn. Den nye parser springer heller ikke tidligere antagelser over, s\u00e5som at ignorere argumenter i indstillinger (for eksempel er det ikke l\u00e6ngere tilladt at efterlade en tom direktiv DenyUsers), ubesluttede citationstegn og angivelse af flere lighedstegn \u00ab=\u00bb.\n
N\u00e5r SSHFP DNS-poster anvendes til verifikation af n\u00f8gler, kontrollerer SSH nu alle matchende poster, ikke kun dem med en bestemt type digital signatur.\n
Ved generering af en FIDO-n\u00f8gle i ssh-keygen, hvor indstillingen -Ochallenge bruges til hashing, anvendes der nu en indbygget lag, frem for libfido2, hvilket muligg\u00f8r udfordringssekvenser, der er st\u00f8rre eller mindre end 32 byte.\n
I sshd, ved behandling af direktivet environment=\u00ab\u2026\u00bb i authorized_keys-filerne, accepteres nu det f\u00f8rste match, og der g\u00e6lder en begr\u00e6nsning p\u00e5 1024 navne for milj\u00f8variabler. <\/ul>\n
OpenSSH-udviklerne har ogs\u00e5 advaret om, at algoritmer, der bruger SHA-1-hashfunktioner, vil blive betragtet som for\u00e6ldede p\u00e5 grund af den stigende effektivitet af pr\u00e6fiks-kollisionsangreb (omkostningerne ved at finde en kollisionsv\u00e6rdil\u00e6gger er cirka 50.000 dollars). I den kommende udgave vil muligheden for at bruge den digitale underskriftsalgoritme for offentlige n\u00f8gler «ssh-rsa» blive deaktiveret som standard, hvilket n\u00e6vnes i den oprindelige RFC for SSH-protokollen og som stadig er meget udbredt i praksis. <\/p>\n
For at kontrollere brugen af ssh-rsa i dine systemer kan du fors\u00f8ge at oprette forbindelse via ssh med indstillingen «-oHostKeyAlgorithms=-ssh-rsa». Deaktivering af digitale underskrifter «ssh-rsa» som standard betyder ikke, at brugen af RSA-n\u00f8gler helt opgives; da SSH-protokollen tillader brugen af andre hash-algoritmer udover SHA-1. Is\u00e6r vil der foruden «ssh-rsa» stadig v\u00e6re mulighed for at bruge parrene «rsa-sha2-256» (RSA\/SHA256) og «rsa-sha2-512» (RSA\/SHA512). <\/p>\n