Release von OpenSSH 9.8 mit Deaktivierung des DSA-Algorithmus und zusätzlichen Schutzmechanismen

OpenSSH 9.8 wurde veröffentlicht, eine Open-Source-Implementierung des Clients und Servers für die Protokolle SSH 2.0 und SFTP. Neben der Beseitigung einer separat angekündigten kritischen Sicherheitsanfälligkeit (CVE-2024-6387), die die Ausführung von Code mit Root-Rechten vor der Authentifizierung ermöglicht, wurden in der neuen Version eine weitere weniger kritische Schwachstelle behoben und mehrere wesentliche Änderungen zur Verbesserung der Sicherheit vorgeschlagen.

Die zweite Schwachstelle erlaubt es, den in Version OpenSSH 9.5 implementierten Schutz gegen Seitenkanalangriffe zu umgehen, die Verzögerungen zwischen Tastenschlägen analysieren, um Eingaben zu rekonstruieren. Die Schwachstelle ermöglicht es, Pakete, die Hintergrundaktivitäten durch das Simulieren von fiktiven Tastenschlägen erzeugen, von Paketen zu unterscheiden, die beim Drücken echter Tasten gesendet werden, was die Effektivität des Mechanismus zur Verheimlichung der Eigenschaften interaktiver Eingaben im SSH-Verkehr verringert. Informationen über Tasteneingaben ermöglichen Angriffe, die Eingaben basierend auf der Analyse von Verzögerungen zwischen den Tastenschlägen beim Tippen rekonstruieren, die von der Anordnung der Tasten auf der Tastatur abhängen (zum Beispiel ist die Reaktion beim Eingeben des Buchstabens „F“ schneller als beim Eingeben von „Q“ oder „X“, da weniger Fingerbewegungen erforderlich sind).

Darüber hinaus stellte sich heraus, dass der implementierte Algorithmus zum Senden von Paketen mit echten und fiktiven Tastenschlägen die Zuverlässigkeit einer anderen Schutzmethode gegen Seitenkanalangriffe verringert hat. Begonnen mit der Veröffentlichung
OpenSSH 2.9.9 Server sendete Pakete mit fiktiven Tastenschlägen für die Konsoleneingabe im echo-off-Modus, der beispielsweise beim Eingeben von Passwörtern in su oder sudo verwendet wird. Die neue Logik zum Senden fiktiver Pakete ermöglichte es, bei passiver Analyse des Verkehrs Pakete mit echten Tastenschlägen im echo-off-Modus zu identifizieren, um sie separat zu analysieren. Dabei wird die Genauigkeit der Zeitangaben über Tastendrücke jedoch eingeschränkt, da die Pakete nach dem Tippen nicht sofort, sondern in festen Zeitintervallen (standardmäßig 20 ms) gesendet werden.

Weitere Änderungen in OpenSSH 9.8:

• Im Zusammenbau ist die Unterstützung für digitale Signaturen auf Basis des DSA-Algorithmus standardmäßig deaktiviert. Anfang 2025 wird die Implementierung von DSA aus dem Code entfernt. Als Grund für die Entfernung wird das nicht mehr zeitgemäße Schutzniveau von DSA genannt. Die Kosten für die Fortführung der Unterstützung des unsicheren DSA-Algorithmus rechtfertigen sich nicht, und seine Entfernung wird es ermöglichen, die Unterstützung von DSA in anderen SSH-Implementierungen und kryptografischen Bibliotheken einzustellen.
• Um zusätzlichen Schutz gegen Methoden zur Ausnutzung von Verwundbarkeiten zu bieten, die eine große Anzahl an Verbindungen zum sshd erfordern, wurde ein neuer Schutzmodus implementiert und standardmäßig aktiviert, der auch beim Blockieren automatisierter Angriffe zur Passwortermittlung hilft, bei denen Bots versuchen, das Benutzerpasswort durch Ausprobieren verschiedener gängiger Kombinationen zu erraten. Der Schutz erfolgt durch eine Blockierung IP-Adressen, bei denen eine große Anzahl gescheiterter Verbindungsversuche verzeichnet wird – der sshd überwacht den Status der Beendigung von Kindprozessen, um Situationen zu erkennen, in denen die Authentifizierung fehlgeschlagen ist oder ein Prozess aufgrund eines Fehlers abgestürzt ist. Bei Überschreitung eines bestimmten Schwellenwerts beginnt er, Anfragen von problematischen IPs oder Subnetzen zu blockieren. Für die Konfiguration des Schwellenwerts der Blockierung, der Masken der blockierten Subnetze und der Ausnahmeliste wurden die Parameter PerSourcePenalties, PerSourceNetBlockSize und PerSourcePenaltyExemptList vorgeschlagen.
• Der sshd-Prozess wurde in mehrere separate ausführbare Dateien unterteilt. Aus dem sshd wurde der Prozess sshd-session ausgegliedert, der für die Aufgaben der Sitzungsbearbeitung verantwortlich ist. Im sshd verbleiben Funktionen, die für den Empfang von Netzwerkverbindungen, die Überprüfung der Konfiguration, das Laden von Hostschlüsseln und die Verwaltung der gestarteten Prozesse gemäß dem Parameter MaxStartups zuständig sind. Somit enthält die ausführbare Datei sshd nun die minimal erforderliche Funktionalität, um eine neue Netzwerkverbindung entgegenzunehmen und den sshd-session für die Sitzungsbearbeitung zu starten.
• Der Text einiger Fehlermeldungen, die im Protokoll aufgezeichnet werden, hat sich geändert. Insbesondere werden einige Nachrichten nun im Namen des Prozesses „sshd-session“ und nicht mehr von „sshd“ gesendet.
• In der Dienstprogramm ssh-keyscan wird die Ausgabe der Versionsinformationen des Protokolls und des Hostnamens nun in den Standardausgabestrom anstatt in STDERR geleitet. Eine Option „-q“ wurde angeboten, um die Ausgabe zu deaktivieren.
• In ssh wurde die Möglichkeit implementiert, über die Direktive HostkeyAlgorithms von der Verwendung des Host-Schlüsselzertifikats zu einfachen (plain) Host-Schlüsseln zurückzukehren.
• In der portablen Version von sshd wird die Verwendung des Wertes argv[0] zur Bestimmung des PAM-Dienstnamens eingestellt. Um den PAM-Dienstnamen in sshd_config festzulegen, wurde die neue Direktive "PAMServiceName" hinzugefügt, die standardmäßig auf "sshd" eingestellt ist.
• In der portablen Version von sshd wurde sichergestellt, dass automatisch generierte Dateien (wie das Skript configure, config.h.in usw.) im Git-Zweig mit den Releases (z.B. V_9_8) gespeichert werden, was die Synchronisierung der Zusammensetzung signierter tar-Archive und der Zweige in Git ermöglicht hat.
• In der portablen Version von ssh und ssh-agent wurde der Modus festgelegt.
  SSH_ASKPASS wird aktiviert, wenn die Umgebungsvariable WAYLAND_DISPLAY vorhanden ist, ähnlich wie es für X11 bei Vorhandensein der Umgebungsvariable DISPLAY gehandhabt wurde.
• In der portablen Version von sshd wurde die Unterstützung für das Senden von Benachrichtigungen an systemd beim Erstellen eines wartenden Netzwerksockets oder beim Neustart hinzugefügt, wobei ein separater Code verwendet wird, der nicht auf die libsystemd-Bibliothek zugreift.

Quelle: opennet.ru