Avatud on OpenSSH 10.5 väljaanne, avatud rakenduse klient ja server, mis töötavad SSH 2.0 ja SFTP protokollide kaudu. Peamised muutused:
- Nüüd on OpenSSH kaasaskantava versiooni jaoks vajalik elliptsete kõverate (ECC — Elliptic Curve Cryptography) krüptoloogia tugi libcrypto teegis, sealhulgas NISTP521 elliptse kõvera tugi. LibreSSL, OpenSSL, BoringSSL ja AWS LC projektide libcrypto rakendustes on see tugi vaikimisi lubatud.
- ssh-keygen utiliidis on FIDO-tokenite privaatsete võtmete parooli lähtestamisel rakendatud touch-required ja verify-required lipud, mis nõuavad kasutajalt kinnitust.
- ssh utiliidis on sertifikaatide rakendamise järjekorda muudetud avatud võtmega autentimise korral — esmajärjekorras rakendatakse FIDO võtmeid, mis ei vaja kasutaja tegevust, ja viimases järjekorras võtmeid, mis nõuavad PIN-koodi või biomeetrilise verifitseerimise kinnitust.
- Lisatud käsk «ssh -Z user», mis kuvab võtmeid nende kasutamise järjekorras avatud võtmega autentimise jaoks.
- Kaitseprobleemid on kõrvaldatud:
- Parandatud on seansside sidumise päringute vale töötlemine SSH Agendi blokeerimisel, mille tulemusena SSH Agent lubas eemaldamise asemel kaugel teostada toiminguid, mis pidanuksid olema saadaval ainult kohalikult, näiteks PKCS#11 tokenite lisamine ja võtmete kasutamine, mis on seatud konkreetsetele serveritele.
- ssh-kliendis on kõrvaldatud potentsiaalne mälu kasutamine pärast selle vabastamist (use-after-free), mis ilmnes SSH ühenduste multiplexerimise korral ühe socketi kaudu, kui uue portide edastuse lisamisel ootas klient endiselt serverilt vastust varasema edastuse avamiseks.
- sshd-s on õigesti rakendatud autoriseerimisfailis authorised_keys määratud piirangud ‘restrict’ lipu kaudu edastatavatele tunnelitele.
Allikas: opennet.ru
