Die Ver\u00f6ffentlichung von OpenSSH 10.0, einer Open-Source-Implementierung des Clients und Servers f\u00fcr die Protokolle SSH 2.0 und SFTP, wurde angek\u00fcndigt. Wichtige \u00c4nderungen: <\/p>\n
\n
Die Unterst\u00fctzung f\u00fcr digitale Signaturen basierend auf dem DSA-Algorithmus wurde entfernt, da der Sicherheitsniveau nicht den heutigen Anforderungen entspricht. Die Kosten f\u00fcr die Fortf\u00fchrung der Unterst\u00fctzung eines unsicheren DSA-Algorithmus sind nicht gerechtfertigt, und seine Entfernung wird dazu beitragen, die Unterst\u00fctzung von DSA in anderen SSH-Implementierungen und kryptografischen Bibliotheken zu beenden. Die Verwendung von DSA-Schl\u00fcsseln wurde standardm\u00e4\u00dfig bereits 2015 eingestellt.\n
Die Trennung von sshd in mehrere separate ausf\u00fchrbare Dateien wurde fortgesetzt. In OpenSSH 9.8 wurde der Prozess sshd-session aus sshd herausgel\u00f6st, der Aufgaben im Zusammenhang mit der Sitzungsverarbeitung ausf\u00fchrt. In OpenSSH 10.0 wurde der Code f\u00fcr die Authentifizierung von sshd-session in einen separaten Prozess sshd-auth verschoben. Der Prozess sshd-auth erm\u00f6glicht eine zus\u00e4tzliche Isolation der mit der Authentifizierung verbundenen Daten im Adressraum eines separaten Prozesses, was den Zugriff auf diese Daten im Speicher im Falle von Angriffen auf den Code, der f\u00fcr die Verarbeitung der Verbindungsphasen bis zum Abschluss der Authentifizierung verwendet wird, erschwert. Au\u00dferdem wird die \u00c4nderung den Speicherverbrauch leicht senken, da der mit der Authentifizierung verbundene Code jetzt nur w\u00e4hrend der Authentifizierung im Speicher vorhanden ist und dann beim Abschluss des Prozesses sshd-auth entladen wird.\n
Beim SSH wird standardm\u00e4\u00dfig ein hybrides Schl\u00fcsselwechselprotokoll \u201emlkem768x25519-sha256\u201c verwendet, das im Hinblick auf Quantencomputer sicher ist und eine Kombination aus X25519 ECDH und dem ML-KEM-Algorithmus (CRYSTALS-Kyber) darstellt, die vom National Institute of Standards and Technology (NIST) standardisiert wurden. ML-KEM nutzt kryptographische Methoden, die auf der L\u00f6sung von Gitterproblemen basieren, deren L\u00f6sungszeit sich auf normalen und Quantencomputern nicht unterscheidet.\n
In ssh_config wurden die Direktiven SetEnv und User um Unterst\u00fctzung f\u00fcr die Platzhalter \u201e%-token\u201c sowie die Aufl\u00f6sung von Umgebungsvariablen erg\u00e4nzt.\n
In ssh_config und sshd_config wurde die Unterst\u00fctzung f\u00fcr den Ausdruck \u201eMatch version\u201c hinzugef\u00fcgt, der es erm\u00f6glicht, Einstellungen basierend auf der vorhandenen OpenSSH-Version anzuwenden. Zum Beispiel kann f\u00fcr OpenSSH 10 \u201eMatch version OpenSSH_10.*\u201c angegeben werden.\n
In der ssh_config wurde die Unterst\u00fctzung f\u00fcr die Ausdr\u00fccke hinzugef\u00fcgt:\n
\n
\u201eMatch sessiontype\u201c erm\u00f6glicht es, Einstellungen je nach angefragtem Sitzungstyp anzuwenden: \u201eshell\u201c f\u00fcr interaktive Sitzungen, \u201eexec\u201c f\u00fcr die Ausf\u00fchrung von Befehlen, \u201esubsystem\u201c f\u00fcr SFTP und \u201enone\u201c f\u00fcr Tunnel und Datenweiterleitung.\n
\u201eMatch command\u201c zur Bindung von Aktionen an die in der Befehlszeile f\u00fcr den SSH-Start angegebenen Befehle.\n
'Match tagged \u00ab\u00bb' und 'Match command \u00ab\u00bb' zur Bindung an leere Tags und zum Start von SSH ohne Angabe des auszuf\u00fchrenden Befehls. <\/ul>\n
In der sshd_config ist die Verwendung von Masken in den Dateipfaden, die in den Direktiven AuthorizedKeysFile und AuthorizedPrincipalsFile angegeben werden, erlaubt.\n
Im SSH-Client wurde die Unterst\u00fctzung der Option \u00abVersionAddendum\u00bb hinzugef\u00fcgt, um beliebigen Text zur Versionsnummer hinzuzuf\u00fcgen (zuvor war diese Option nur f\u00fcr verf\u00fcgbar). \u0441\u0435\u0440\u0432\u0435\u0440\u0430<\/a> sshd).\n