OpenSSH 8.2 väljalase kahefactori autentimise FIDO/U2F tokenite toega

Pärast nelja kuu arendust esitati vabastus OpenSSH 8.2, avatud kliendi ja serveri teostus SSH 2.0 ja SFTP protokollide jaoks.

OpenSSH 8.2 väljaandel on peamine täiustus kahefaktorilise autentimise võimalus seadmete kaudu, mis toetavad protokolli U2F, mida arendab liit FIDO. U2F võimaldab luua odavaid riistvaratokenite kasutamist, et kinnitada kasutaja füüsilist kohalolekut, mille vaheline suhtlemine toimub USB, Bluetooth või NFC kaudu. Sellised seadmed edendavad kahefaktorilist autentimist veebisaitidel, neid toetavad peamised brauserid ja neid valmistavad erinevad tootjad, sealhulgas Yubico, Feitian, Thetis ja Kensington.

Kasutajapoolse kohaloleku kinnitamiseks on OpenSSH-sse lisatud uued võtme tüübid "ecdsa-sk" ja "ed25519-sk", mis kasutavad ECDSA ja Ed25519 digitaalallkirjastamise algoritme koos SHA-256 hash'iga. Tokenitega suhtlemise protseduurid on viidud vaheklassi, mis laaditakse sarnaselt PKCS#11 toele mõeldud raamatukoguga ja on raamatukogu libfido2, mis pakub vahendeid tokenite suhtlemiseks USB kaudu (toetavad protokollid FIDO U2F/CTAP 1 ja FIDO 2.0/CTAP 2). OpenSSH arendajate loodud vaheklass libsk-libfido2 on aktiveeritud on põhiosas libfido2, nagu ka HID-draiver OpenBSD jaoks.

Autentimiseks ja võtme genereerimiseks tuleb seadetes määrata parameeter "SecurityKeyProvider" või seada keskkonnamuutuja SSH_SK_PROVIDER, märkides tee välise raamatukogu libsk-libfido2.so (export SSH_SK_PROVIDER=/path/to/libsk-libfido2.so). Võimalik on koostada openssh koos sisseehitatud toe vaheklassile (—with-security-key-builtin), juhul tuleb määrata parameeter "SecurityKeyProvider=internal".
Seejärel tuleb käivitada "ssh-keygen -t ecdsa-sk" või, kui võtmed on juba loodud ja seadistatud, ühendada serveriga "ssh" kaudu. Käivitamisel ssh-keygen salvestatakse loodud võtmepaar "~/.ssh/id_ecdsa_sk" ja seda saab kasutada sarnaselt muude võtmetega.

Avaõtuvõti (id_ecdsa_sk.pub) tuleb serverisse kopeerida faili authorized_keys. Serveris kontrollitakse ainult digitaalset allkirja, samas kui tokenitega suhtlemine toimub kliendi poolel (serveris ei pea olema installitud libsk-libfido2, kuid server peab toetama võtme tüüpi „ecdsa-sk“). Genereeritud privaatvõti (id_ecdsa_sk) on sisuliselt võtme descriptor, mis loob reaalse võtme ainult koos U2F tokeni poolel hoitava salajase järjestusega. Kui id_ecdsa_sk võti satub ründaja kätte, peab ta autentimise läbimiseks samuti pääsema juurde riistvaralisele tokenile, ilma milleta on failis id_ecdsa_sk hoitud privaatvõti kasutu.

Lisaks nõuab vaikimisi kõigi võtmete toimingute (nii genereerimise kui autentimise) käigus kohaliku kinnituse füüsilist kohalolekut, näiteks palutakse puudutada tokeni sensorit, mis raskendab kaugmeetodite kasutamist tokeniga süsteemides. Veel ühe kaitseelemendina võib ssh-keygen käivitamisel määrata ka parooli juurdepääsuks võtme failile.

Uues OpenSSH versioonis on teatatud varasemate SHA-1 rämpsalgoritmide tulevasest kärpimisest, seoses tõhususe kasvuga eeldefineeritud kollisioonirünnakute puhul (kollisiooni leidmise maksumus on hinnanguliselt umbes 45 tuhat dollarit). Ühes järgnevas väljaandes plaanitakse vaikimisi keelata digitaalsete allkirjade kasutamine avatud võtme algoritmiga „ssh-rsa“, mida mainitakse SSH protokolli originaalses RFC-s ja mis on praktikas endiselt laialdaselt levinud (ssh-rsa rakenduse kontrollimiseks oma süsteemides võib proovida ssh-iga ühenduda, kasutades valikut „-oHostKeyAlgorithms=-ssh-rsa“).

Uute algoritmide ülemineku sujuvamaks muutmiseks OpenSSH-s, plaanitakse ühes järgnevates väljaannetes vaikimisi lubada seadistust UpdateHostKeys, mis võimaldab automaatselt suunata kliente usaldusväärsematele algoritmidele. Soovitatud migreerimise algoritmide seas on rsa-sha2-256/512, mis põhineb RFC8332 RSA SHA-2 (toetatakse OpenSSH 7.2 alates ja kasutatakse vaikimisi), ssh-ed25519 (toetatakse OpenSSH 6.5 alates) ja ecdsa-sha2-nistp256/384/521, mis põhineb RFC5656 ECDSA (toetatakse OpenSSH 5.7 alates).

OpenSSH 8.2 versioonis on võimalus ühendada kasutades „ssh-rsa“ endiselt olemas, kuid see algoritm on eemaldatud CASignatureAlgorithms nimekirjast, mis määratleb uute sertifikaatide digitaalallkirjade algorütmid. Samuti on vaikimisi toetatud võtmise algoritmidest eemaldatud diffie-hellman-group14-sha1 algoritm. Täheldatakse, et SHA-1 kasutamine sertifikaatides on seotud täiendava riskiga, kuna ründajal on piiramatu aeg kollisiooni otsimiseks olemasoleva sertifikaadi jaoks, samas kui rünnakute aeg hostivõtmete jaoks on piiratud ühenduse ajaga (LoginGraceTime).

SSH-keygen kasutamisel rakendatakse nüüd vaikimisi algoritmi rsa-sha2-512, mida toetatakse alates OpenSSH 7.2, mis võib tekitada ühilduvusprobleeme sertifikaatide töötlemisel, mille on sertifitseerinud OpenSSH 8.2, vanema OpenSSH versiooniga süsteemides (probleemi mööda hiilimiseks on allkirja genereerimiseks võimalik selgelt määrata «ssh-keygen -t ssh-rsa» või kasutada ecdsa-sha2-nistp256/384/521 algoritme, mida toetatakse alates OpenSSH 5.7).

Muud muudatused:

• sshd_configis on lisatud direktiiv Include, mis võimaldab teiste failide sisu sisestada praegusesse konfigureerimisfaili (failinime määramisel on lubatud glob-maske kasutada);
• ssh-keygenis on lisatud valik «no-touch-required», mis keelab füüsilise kinnituse vajaduse toimetuleku juurdepääsuks tokenile võtme genereerimise ajal;
• sshd_configis on lisatud direktiiv PubkeyAuthOptions, mis koondab erinevad valikud, mis on seotud avaliku võtme autentimisega. Praegu toetatakse ainult lippu «no-touch-required», et mööda minna füüsilise kohaloleku kontrollimisest tokeniga autoriseerimisel. Sarnasel viisil on authorized_keys faili lisatud valik «no-touch-required»;
• ssh-keygenis on lisatud valik «-O write-attestation=\/path», mis võimaldab genereerimise ajal salvestada täiendavaid FIDO atesteerimissertifikaate. OpenSSH ei kasuta praegu neid sertifikaate, kuid neid saab hiljem kasutada võtme kontrollimiseks usaldusväärses seadmes;
• SSH ja sshd seadetes on nüüd direktiivi IPQoS kaudu võimalik seadistada liikluse prioritiseerimise režiim. LE DSCP (Lower-Effort Per-Hop Behavior);
• SSH-s, kui seate väärtuse «AddKeysToAgent=yes», kui võtme kommentaariväli puudub, lisatakse ta ssh-agentisse, märkides kommentaarina võtme tee.
  ssh-keygenis ja ssh-agentis kasutatakse võtme kommentaaridena nüüd ka PKCS#11 silte ja X.509 teema nime, mitte teed teeki;
• ssh-keygenis on lisatud võimalus eksportida PEM DSA ja ECDSA võtmete jaoks;
• Lisatud on uus täitmisfail ssh-sk-helper, mida kasutatakse FIDO/U2F tokenite juurdepääsubiblioteegi isoleerimiseks;
• SSH-s ja sshd-s on lisatud koostamisvalik «—with-zlib» zlib biblioteki toe toetamiseks.
• Vastavalt RFC4253 nõudele sisaldab ühendamisel kuvatav bänner hoiatust juurdepääsu blokeerimise kohta, mis tuleneb MaxStartups piiride ületamisest. Diagnostika lihtsustamiseks näitab sshd protsessi päises, mida saab vaadata ps utiliidi kaudu, autentitud ühenduste arvu ja MaxStartups piiri olekut;
• Ssh ja ssh-agentis, kui kutsutakse ekraanile väljundikutsumiste programmi, mis on määratud läbi $SSH_ASKPASS, edastatakse nüüd täiendav lipp kutsumise tüübi määramiseks: „confirm” — kinnituse dialoog (jah/ei), „none” — teavitusteade, „blank” — parooli küsimine;
• Ssh-keygenisse on lisatud uus digitaalallkiri operatsioon „find-principals” kasutaja allowed-signers failis otsimiseks, mis on seotud määratud digitaalse allkirjaga;
• Linuxis on parandatud sshd protsessi isoleerimise toetust seccomp mehhanismi abil: keelatud süsteemi kutsed IPC, lubatud on clock_gettime64(), clock_nanosleep_time64 ja clock_nanosleep().

Allikas: opennet.ru