OpenSSH 8.8 väljaanne, milles on välja lülitatud rsa-sha digitaalsete allkirjade tugi.

Avaldatud on OpenSSH 8.8, avatud rakenduse klient ja server SSH 2.0 ja SFTP protokollide kasutamiseks. Väljalaskmine sisaldab mõjuva põhjuseta vaikesätet RSA-võtmetele põhinevate digitaalsignatuuride kasutamise keelamise osas koos SHA-1 hash'iga ("ssh-rsa").

«ssh-rsa» allkirjade toe lõpetamine on tingitud eeldatavate kolmikute rünnakute efektiivsuse kasvust, mille kulud on ligikaudu 50 000 dollarit. Saate kontrollida ssh-rsa'i kasutamist oma süsteemides, proovides ssh kaudu ühendust luua valikuga «-oHostKeyAlgorithms=-ssh-rsa». RSA-allkirjade tugi SHA-256 ja SHA-512 hash'idega (rsa-sha2-256/512), mis on saadaval alates OpenSSH 7.2, on jäänud muutumatuks.

Enamikul juhtudel ei nõua «ssh-rsa» toe lõpetamine kasutajatelt täiendavaid toiminguid, kuna OpenSSH-s oli varasemalt vaikimisi aktiveeritud seade UpdateHostKeys, mis tõlgib automaatselt kliendid kindlamatele algoritmidele. Üleminekuks kasutatakse protokolli laiendust «hostkeys@openssh.com», mis võimaldab serveri autentimise läbimise järel teavitada klienti kõigist saadaval olevatest hosti võtmetest. Kui ühendate väga vanade OpenSSH versioonidega hostidega, saate valida «ssh-rsa» allkirjade toe jälle lubada, lisades ~ /.ssh/config: Host vana_hosti_nimi HostkeyAlgorithms +ssh-rsa PubkeyAcceptedAlgorithms +ssh-rsa

Uues versioonis on samuti lahendatud turvaprobleem, mis tekkis sshd-s, alates OpenSSH 6.2 väljaandmisest, kui kasutajagruppide algseadistamine oli vigane autoriseeritud käskude ja autoriseeritud põhimõtete täitmisel. Need direktiivid peaksid tagama käskude käivitamise teise kasutaja alt, kuid tegelikult pärisid nad sshd käivitamisel kasutatavad rühmad. Selline käitumine võimaldas teatud süsteemi seadistuste korral aktiivsel töötlijal saada täiendavaid privileege süsteemis.

Uue väljaande märkmes on samuti avaldatud hoiatus selle kohta, et plaanitakse vaikimisi muuta scp utiliit SFTP kasutamiseks, asendades vananenud protokolli SCP/RCP. SFTP-s rakendatakse enam ennustatavaid meetodeid nimede töötlemiseks ning ei kasutata glob-mallide töötlemist failinimedes teisel hostil, mis põhjustab turvaprobleeme. Eelkõige SCP ja RCP puhul server otsustab, millised failid ja kataloogid saadetakse kliendile, samas kui klient kontrollib vaid tagastatud objektide nimede õigsust, mis kliendi poolel piisavate kontrollide puudumisel võimaldab serveril edastada teisi failinimesid, mis erinevad taotletud nendest. Protokoll SFTP on neist probleemidest vabastatud, kuid ei toeta eriteede avalikustamist, nagu "~\/". Selle erinevuse kõrvaldamiseks pakuti eelmises OpenSSH väljaandes välja uus SFTP protokolli laiendus, et avalikustada teed ~\/ ja ~user\/.

Allikas: opennet.ru