OpenSSH 8.7 väljaanne

Pärast nelja kuu arendustööd on välja antud OpenSSH 8.7, avatud kliendi ja serveri rakendus SSH 2.0 ja SFTP protokollide jaoks.

Peamised muudatused:

• scp-sse on lisatud eksperimentaalne andmeedastusrežiim, mis kasutab SFTP protokolli traditsioonilise SCP/RCP asemel. SFTP-s kasutatakse rohkem ennustatavaid meetodeid nimede töötlemiseks ning glob-mallide töötlemine shellis teisel hostil, mis tekitab turvaprobleeme, ei ole lubatud. SFTP aktiveerimiseks scp-s on soovitatud lipp «-s», kuid tulevikus plaanitakse minna selle protokolli juurde vaikimisi.
• sftp-serveris on ellu viidud SFTP protokolli laiendused, mis avavad teed ~\/ ja ~user\/, mis on vajalikud scp jaoks.
• scp utiliidis on muudetud käitumist failide kopeerimise ajal kahe kaugema hosti vahel (nt «scp host-a:\/path host-b:"), mis toimub nüüd vaikimisi läbi vahepealse kohaliku hosti, nagu lipu «-3» märkimise korral. Antud lähenemine võimaldab vältida liigsete sisselogimisandmete edastamist esimesse hosti ja kolmekordset failinimede tõlgendamist shellis (allikas, vastuvõtja ja kohalik süsteem), samuti võimaldab SFTP kasutamine kasutada kõiki autentimismeetodeid kaug-teenustele, mitte ainult mitteinteraktiivseid. Vana käitumise taastamiseks on lisatud võimalus «-R».
• ssh-sse on lisatud seadistus ForkAfterAuthentication, mis vastab lipule «-f».
• ssh-sse on lisatud seadistus StdinNull, mis vastab lipule «-n».
• ssh-sse on lisatud seadistus SessionType, mille kaudu saab määrata režiimid, mis vastavad lipule «-N» (ilma sessioonita) ja «-s» (subsystem).
• ssh-keygenis on lubatud võtme kehtivusperioodi määramine võtmefailides.
• ssh-keygenis on lisatud lipp «-Oprint-pubkey», et väljundada täis avalik võti sshsig allkirja koostisosana.
• ssh ja sshd, nii klient kui server, on üle viidud rangema konfiguratsioonifaili analüsaatori kasutamisele, mis järgib shelli reeglite sarnaseid tavasid, sealhulgas jutumärkide, tühikute ja muteerimissümbolite töötlemisel. Uus analüsaator ei ignoreeri ka varasemaid lubasid, nagu argumendid, mis jäävad valikutesse (nt nüüd ei tohi jätta tühjaks DenyUsers direktiivi), sulgemata jutumärke ja mitme «=» sümboli määramist.
• DNS-SALVESTITE SSHFP kasutamisel võtme kinnitamisel kontrollib ssh nüüd kõiki vastavaid kirjeid, mitte ainult neid, mis sisaldavad teatud tüüpi digitaalallkirja.
• ssh-keygeni abil FIDO võtme genereerimisel, kasutades valikut -Ochallenge, häsitamiseks, kasutatakse nüüd sisseehitatud vahetükki, mitte libfido2 vahendeid, mis võimaldab kasutada challenge-järjekordi, mis on suuremad või väiksemad kui 32 bitti.
• sshd puhul, kui töödeldakse environment=»…» direktiivi authorized_keys failides, aktsepteeritakse nüüd esimest vaste ja kehtestatakse piirang 1024 keskkonnamuutuja nimele.

OpenSSH arendajad on samuti hoiatunud SHA-1 hash'e kasutavate algoritmide uuendamise eest, kuna collision rünnakute tõhusus on tõusnud (collision leiatevuse hind on umbes 50 000 dollarit). Järgmises versioonis plaanitakse vaikimisi keelata rsa digitaalallkirja algoritmi kasutamine, nagu mainitud SSH protokolli originaalses RFC-s, mis on endiselt laialdaselt levinud praktikas.

Kuna ssh-rsa kasutamist oma süsteemides kontrollida, võib proovida ssh-iga sisse logida valiku '-oHostKeyAlgorithms=-ssh-rsa' abil. Vaikimisi digitaalsete allkirjade 'ssh-rsa' keelamine ei tähenda täielikku loobumist RSA-võtmete kasutamisest, kuna protokoll SSH lubab sha-1 kõrval kasutada ka muid räsi algoritme. Eelkõige jääb jätkuvalt võimalus kasutada paare 'rsa-sha2-256' (RSA/SHA256) ja 'rsa-sha2-512' (RSA/SHA512).

Uute algoritmide sujuva ülemineku jaoks on OpenSSH varem vaikimisi lubanud seadistuse UpdateHostKeys, mis võimaldab automaatselt suunata kliente usaldusväärsematele algoritmidele. Selle seadistuse abil aktiveeritakse eriline protokolli laiendus „hostkeys@openssh.com”, mis võimaldab serveri kliendile pärast autentimist teavitada kõigist saadaval olevaid hosti võtmeid. Klient saab need võtmed kajastada oma failis ~/ .ssh/known_hosts, mis võimaldab korraldada hosti võtmete värskendamist ja lihtsustab võtmete vahetamist. serveris.

UpdateHostKeys'i kasutamine on piiratud mõne kogemusega, mis tulevikus võivad kehtetuks osutuda: võti peab olema mainitud UserKnownHostsFile'is ega tohi olla GlobalKnownHostsFile'is; võti peab olema ainult ühe nime all; hostivõtme sertifikaati ei tohi kasutada; known_hosts'is ei tohi kasutada hostinime mustreid; VerifyHostKeyDNS seadistus peab olema keelatud; UserKnownHostsFile'i parameeter peab olema aktiivne.

Soovituseks migratsiooniks on mainitud rsa-sha2-256/512, mis põhineb RFC8332 RSA SHA-2 (toetatud OpenSSH 7.2-st ja kasutatakse vaikimisi), ssh-ed25519 (toetatud OpenSSH 6.5-st) ning ecdsa-sha2-nistp256/384/521, mis põhineb RFC5656 ECDSA (toetatud OpenSSH 5.7-st).

Allikas: opennet.ru