Avatud OpenSSH 10.1 v\u00e4ljaanne, kliendi ja serveri avatud rakenduse jaoks, mis t\u00f6\u00f6tab SSH 2.0 ja SFTP protokollide \u00fcle. <\/p>\n
Peamised muudatused: <\/p>\n
\n
Turvalisusprobleem lahendatud, v\u00f5imaldades r\u00fcndajal sisestada shell-k\u00e4ske, manipuleerides spetsiaalsete m\u00e4rkidega kasutajanimes v\u00f5i URI-s, mis v\u00f5isid k\u00e4ivituda k\u00e4su k\u00e4ivitamisel, mis on m\u00e4\u00e4ratud seadistuses «ProxyCommand» ja sisaldab asendust «%u». Probleem m\u00f5jutab ainult s\u00fcsteeme, mis lubavad ssh k\u00e4ivitamisel kasutada kasutajanime v\u00f5i URI-d, mis saadakse usaldamatust allikast.\n
Sarnaste r\u00fcnnakute t\u00f5kestamiseks on keelatud juhtivate m\u00e4rkide kasutamine kasutajanimedes, mis on m\u00e4\u00e4ratud k\u00e4sureale k\u00e4ivitamisel v\u00f5i seotud seadistustega %-j\u00e4rjestustega. Samuti on keelatud nullm\u00e4rk («\0») URI-s ssh:\/\/. Erand tehakse ainult nimesid, mis on m\u00e4\u00e4ratud konfiguratsioonifailis (eeldatakse, et see konfiguratsioonifail on usaldusv\u00e4\u00e4rne). <\/p>\n
Sissejuhatus ssh ja ssh-agent t\u00f6\u00f6riistadesse ed25519 v\u00f5tmete toetamiseks, mis on salvestatud PKCS#11 tokenitesse.\n
Konfiguratsioonifaili ssh_config on lisatud seadistus RefuseConnection, mille t\u00f6\u00f6tlemisel aktiivses osas l\u00f5petatakse protsess koos veateatega, ilma et p\u00fc\u00fcaks luua \u00fchendust. Match host foo RefuseConnection «host foo ei ole enam aktiivne, palun \u00fchenduge hostiga bar»\n
ssh ja sshd on lisatud signaalide SIGINFO k\u00e4itlejad, et logida teavet seansi ja aktiivse kanali kohta.\n
sshd-s, kui kasutaja autentimine sertifikaadi kaudu on tagasi l\u00fckatud, tagatakse logis mitte ainult sisselogimise keelamise p\u00f5hjus, vaid ka ammendav teave probleemse sertifikaadi tuvastamiseks.\n
sshd-s on lisatud X11 ekraaninumbri kontroll, mis vastab direktiivis X11DisplayOffset m\u00e4\u00e4ratud nihkele.\n
Unit-testide komplekti on lisatud j\u00f5udluse m\u00f5\u00f5tmise v\u00f5imalused, mis aktiveeritakse k\u00e4ivitamisel «make UNITTEST_BENCHMARK=yes» OpenBSD-s v\u00f5i «make unit-bench» teistes s\u00fcsteemides. <\/ul>\n
Muutused, mis v\u00f5ivad v\u00f5imalikult tagurpidi \u00fchilduvust rikkuda: <\/p>\n
\n
ssh-s on lisatud hoiatus, kui \u00fchenduse loomisel kasutatakse kvantkompuutri r\u00fcnnaku eest kaitsmata v\u00f5tme leppimise algoritmi. Hoiatus on lisatud tuleviku r\u00fcnnakute riskide t\u00f5ttu, kasutades varasemaid salvestatud liikluse dump'e. Hoiatuse keelamiseks on ssh_config-faili lisatud valik WarnWeakCrypto. Match host unsafe.example.com WarnWeakCrypto no\n
ssh-s ja sshd-s on m\u00e4rkimisv\u00e4\u00e4rselt muudetud DSCP (IPQoS) teenuse kvaliteedi parameetrite t\u00f6\u00f6tlemist. N\u00fc\u00fcd seadistatakse interaktiivse liikluse jaoks vaikimisi EF (Expedited Forwarding) klass, et tagada prioriteetne t\u00f6\u00f6tlemine traadita v\u00f5rkudes. Mitteinteraktiivse liikluse jaoks seadistatakse klass, mida vaikimisi kasutatakse operatsioonis\u00fcsteemis. Liikluse klassi saab muuta SSH konfiguratsioonis ja sshd_config-failis IPQoS seadistuse abil. IPv4 ToS (teenuse t\u00fc\u00fcp) parameetrid IPQoS direktiivis on vananenud (ToS on asendatud DSCP-ga).\n
ssh-add-s, kui sertifikaat lisatakse ssh-agentile, on rakendatud sertifikaadi kehtivusaja seadmine v\u00e4\u00e4rtusele, mis on 5 minutit pikem kui sertifikaadi kehtivusaeg (automaatseks aegumise sertifikaadi eemaldamiseks). Selle k\u00e4itumise keelamiseks on ssh-add-s lisatud valik «-N».\n
XMSS v\u00f5tmete tugi on eemaldatud, kuna see oli m\u00e4rgitud kui eksperimenteerne ja ei olnud kunagi vaikimisi lubatud.\n
Unix-soketid, mis on loodud ssh-agent ja sshd protsesside poolt, on viidud kataloogist \/tmp katalooge ~\/.ssh\/agent, mis tagab, et neid sokette ei saa kasutada eraldatud protsessidest, millel on piiratud juurdep\u00e4\u00e4s failis\u00fcsteemile, kuid juurdep\u00e4\u00e4s \/tmp-le on avatud. <\/ul>\n