OpenSSH 9.0 väljaanne koos scp üleminekuga SFTP protokollile

Avatud on OpenSSH 9.0 väljaanne, avatud rakendus SSH 2.0 ja SFTP protokollide kliendi ja serveri jaoks. Uues versioonis on utiliit scp vaikimisi muudetud kasutama SFTP-d vananenud SCP/RCP protokolli asemel.

SFTP-s rakendatakse ettearvamatumaid meetodeid nimede töötlemiseks ning kaugel asuva hosti poolel ei kasutata glob-malle failinimedes, mis tekitavad turvaprobleeme. Eelkõige, kui rakendatakse SCP-d ja RCP-d, teeb server otsuse, millised failid ja kataloogid saadetakse kliendile, samas kui klient vaid kontrollib tagastatud objektide nimede kehtivust, mis klientide poolel vajalike kontrollide puudumisel võib võimaldada serveri saata teisi failinimesid, mis erinevad taotletutest.

SFTP-protokollil puuduvad loetletud probleemid, kuid see ei toeta spetsiaalsete teede nagu "~/" avamist. Selle erinevuse kõrvaldamiseks toetab OpenSSH 8.7-st alates SFTP-serveri rakenduses protokolli laiendust "expand-path@openssh.com" tee avamiseks ~/{kasutaja}/.

SFTP kasutamisel võivad kasutajad samuti kokku puutuda ühilduvusprobleemidega, mis tulenevad vajadusest kahekordselt kaitsta spetsiaalsete märkide avatud teede puhul SCP ja RCP päringutes, et vältida nende tõlgendamist kaugel asuval küljel. SFTP-s ei ole see kaitsmine vajalik ning liialdavad jutumärgid võivad põhjustada andmete edastamise viga. Sellega seoses on OpenSSH arendajad loobunud laienduse lisamisest, et korrata scp käitumist sel juhul, kuna kahekordne kaitsmine peetakse puuduseks, mille kordamine ei ole mõttekas.

Uue väljaande muudatused:

• ssh ja sshd puhul on vaikimisi sisse lülitatud hübriidne võtmevahetusmeetod "sntrup761x25519-sha512@openssh.com" (ECDH/x25519 + NTRU Prime), mis on kvantarvutitega katsekatkestuse suhtes vastupidav ja kombineeritud ECDH/x25519-ga potentsiaalsete NTRU Prime-vigade blokeerimiseks, mis võivad tulevikus esile kerida. KexAlgorithms nimekirjas, mis määrab võtmevahetuse meetodite valimise järjekorra, on mainitud algoritm nüüd esikohal ja prioriteedilt kõrgemal kui ECDH ja DH algoritmid.

  Kvantkompuuterid pole veel saavutanud taset, mis võimaldaks traditsioonilisi võtmeid murda, kuid hübriidsete kaitsesüsteemide rakendamine võimaldab kaitsta kasutajaid rünnakute eest, mis on seotud salvestatud SSH-seansside salvestamisega ning mille dekrüpteerimiseks võidakse kasutada tulevikus vajalikke kvantkompuutereid.

• sftp-serverisse on lisatud laiendus „copy-data”, mis võimaldab andmeid serveri poolel kopeerida, ilma et neid oleks vaja klientidele edastada, kui algne ja sihtfail asuvad samas. serveris.
• sftp utiliidile on lisatud käsk „cp”, mis võimaldab kliendil algatada failide kopeerimist serveri poolel.

Allikas: opennet.ru