Apr\u00e8s trois mois de d\u00e9veloppement, la version OpenSSH 10.4 a \u00e9t\u00e9 publi\u00e9e, une impl\u00e9mentation ouverte du client et du serveur pour travailler avec les protocoles SSH 2.0 et SFTP. Changements principaux : <\/p>\n
\n
Un support exp\u00e9rimental a \u00e9t\u00e9 ajout\u00e9 pour le sch\u00e9ma de signature num\u00e9rique combin\u00e9 «mldsa44-ed25519», int\u00e9grant l'algorithme post-quantique ML-DSA 44 et l'algorithme bas\u00e9 sur les courbes elliptiques Ed25519. Pour activer cette prise en charge, il est n\u00e9cessaire d'ajouter «mldsa44-ed25519» dans les directives HostKeyAlgorithms et PubkeyAcceptedAlgorithms. Pour g\u00e9n\u00e9rer des cl\u00e9s, vous pouvez utiliser la commande «ssh-keygen -t mldsa44-ed25519».\n
Une nouvelle impl\u00e9mentation du syst\u00e8me de correspondance par mod\u00e8le a \u00e9t\u00e9 int\u00e9gr\u00e9e dans ssh et sshd, bas\u00e9e sur un automate fini non d\u00e9terministe, \u00e9vitant ainsi le probl\u00e8me de la croissance exponentielle de la complexit\u00e9 des calculs lors de l'utilisation de masques contenant de nombreux caract\u00e8res «*».\n
Le comportement des builds Linux de sshd avec le filtrage des appels syst\u00e8me activ\u00e9 via seccomp a \u00e9t\u00e9 modifi\u00e9. Auparavant, un \u00e9chec lors de l'activation de SECCOMP ou NO_NEW_PRIVS sur les syst\u00e8mes Linux sans support entra\u00eenait un enregistrement d'avertissement dans les logs et la poursuite du fonctionnement sans isolation, tandis qu'\u00e0 pr\u00e9sent, cela entra\u00eenera un arr\u00eat anormal.\n
Lors de l'utilisation de l'option «sshd -G», les directives du dump de configuration sont d\u00e9sormais enregistr\u00e9es en utilisant des majuscules et des minuscules, au lieu d'\u00eatre uniquement en minuscules (c'est-\u00e0-dire «PubkeyAuthentication» au lieu de «pubkeyauthentication»).\n
Le comportement de ssh et sshd a \u00e9t\u00e9 mis en conformit\u00e9 avec la norme RFC 4253 : l'envoi de messages non li\u00e9s \u00e0 l'\u00e9change de cl\u00e9s lors d'un \u00e9change de cl\u00e9s redondant entra\u00eenera maintenant la fermeture de la connexion. Auparavant, des attaquants pouvaient effectuer une attaque DoS en envoyant ind\u00e9finiment des messages tiers lors de l'\u00e9change de cl\u00e9s, qui \u00e9taient mis en m\u00e9moire tampon sur le serveur<\/a> et consommaient de la m\u00e9moire. <\/ul>\n