OpenSSH 8.0 નું પ્રકાશન

વિકાસના પાંચ મહિના પછી પ્રસ્તુત પ્રકાશન OpenSSH 8.0, SSH 2.0 અને SFTP પ્રોટોકોલ દ્વારા કામ કરવા માટે એક ઓપન ક્લાયંટ અને સર્વર અમલીકરણ.

મુખ્ય ફેરફારો:

• કી વિનિમય પદ્ધતિ માટે પ્રાયોગિક સમર્થન કે જે ક્વોન્ટમ કમ્પ્યુટર પર બ્રુટ-ફોર્સ એટેક સામે પ્રતિરોધક છે તે ssh અને sshd માં ઉમેરવામાં આવ્યું છે. ક્વોન્ટમ કોમ્પ્યુટર્સ પ્રાઇમ ફેક્ટર્સમાં કુદરતી સંખ્યાને વિઘટિત કરવાની સમસ્યાને હલ કરવામાં ધરમૂળથી ઝડપી છે, જે આધુનિક અસમપ્રમાણ એન્ક્રિપ્શન અલ્ગોરિધમ્સને નીચે આપે છે અને ક્લાસિકલ પ્રોસેસર્સ પર અસરકારક રીતે ઉકેલી શકાતા નથી. સૂચિત પદ્ધતિ એલ્ગોરિધમ પર આધારિત છે NTRU પ્રાઇમ (function ntrup4591761), પોસ્ટ-ક્વોન્ટમ ક્રિપ્ટોસિસ્ટમ માટે વિકસિત, અને લંબગોળ વળાંક કી વિનિમય પદ્ધતિ X25519;
• sshd માં, ListenAddress અને PermitOpen નિર્દેશો હવે વારસાના "હોસ્ટ/પોર્ટ" વાક્યરચનાનું સમર્થન કરતા નથી, જે IPv2001 સાથે કામ કરવાનું સરળ બનાવવા માટે "host:port" ના વિકલ્પ તરીકે 6માં અમલમાં મૂકવામાં આવ્યું હતું. આધુનિક પરિસ્થિતિઓમાં, IPv6 માટે વાક્યરચના "[::1]:22" સ્થાપિત કરવામાં આવી છે, અને "યજમાન/પોર્ટ" ઘણીવાર સબનેટ (CIDR) સૂચવવામાં મૂંઝવણમાં હોય છે;
• ssh, ssh-એજન્ટ અને ssh-add હવે સપોર્ટ કી ઇસીડીએસએ PKCS#11 ટોકન્સમાં;
• ssh-keygen માં, નવી NIST ભલામણો અનુસાર, મૂળભૂત RSA કી માપ 3072 બિટ્સ સુધી વધારવામાં આવ્યું છે;
• ssh એ ssh_config માં ઉલ્લેખિત PKCS11પ્રોવાઇડર ડાયરેક્ટિવને ઓવરરાઇડ કરવા માટે "PKCS11Provider=none" સેટિંગનો ઉપયોગ કરવાની મંજૂરી આપે છે;
• sshd એ sshd_config માં "ForceCommand=internal-sftp" પ્રતિબંધ દ્વારા અવરોધિત આદેશો ચલાવવાનો પ્રયાસ કરતી વખતે કનેક્શન સમાપ્ત થાય ત્યારે પરિસ્થિતિઓનું લોગ પ્રદર્શન પૂરું પાડે છે;
• ssh માં, નવી હોસ્ટ કીની સ્વીકૃતિની પુષ્ટિ કરવાની વિનંતી પ્રદર્શિત કરતી વખતે, "હા" પ્રતિસાદને બદલે, કીની સાચી ફિંગરપ્રિન્ટ હવે સ્વીકારવામાં આવે છે (કનેક્શનની પુષ્ટિ કરવા માટેના આમંત્રણના જવાબમાં, વપરાશકર્તા તેની નકલ કરી શકે છે. ક્લિપબોર્ડ દ્વારા અલગથી રેફરન્સ હેશ મેળવ્યો, જેથી મેન્યુઅલી તેની સરખામણી ન થાય);
• ssh-keygen આદેશ વાક્ય પર બહુવિધ પ્રમાણપત્રો માટે ડિજિટલ હસ્તાક્ષરો બનાવતી વખતે પ્રમાણપત્ર ક્રમ નંબરની આપોઆપ વૃદ્ધિ પૂરી પાડે છે;
• પ્રોક્સીજમ્પ સેટિંગની સમકક્ષ, scp અને sftp માં નવો વિકલ્પ "-J" ઉમેરવામાં આવ્યો છે;
• ssh-એજન્ટ, ssh-pkcs11-હેલ્પર અને ssh-add માં, આઉટપુટની માહિતી સામગ્રીને વધારવા માટે "-v" આદેશ વાક્ય વિકલ્પની પ્રક્રિયા ઉમેરવામાં આવી છે (જ્યારે ઉલ્લેખિત હોય, ત્યારે આ વિકલ્પ બાળ પ્રક્રિયાઓને પસાર કરવામાં આવે છે. ઉદાહરણ તરીકે, જ્યારે ssh-pkcs11-હેલ્પરને ssh-એજન્ટમાંથી બોલાવવામાં આવે છે;
• ડિજિટલ હસ્તાક્ષર બનાવવા અને ચકાસણી કામગીરી કરવા માટે ssh-એજન્ટમાં કીની યોગ્યતા ચકાસવા માટે ssh-add માં “-T” વિકલ્પ ઉમેરવામાં આવ્યો છે;
• sftp-server “lsetstat at openssh.com” પ્રોટોકોલ એક્સ્ટેંશન માટે સપોર્ટ લાગુ કરે છે, જે SFTP માટે SSH2_FXP_SETSTAT ઑપરેશન માટે સપોર્ટ ઉમેરે છે, પરંતુ સાંકેતિક લિંક્સને અનુસર્યા વિના;
• સાંકેતિક લિંક્સનો ઉપયોગ ન કરતી વિનંતીઓ સાથે chown/chgrp/chmod આદેશો ચલાવવા માટે sftp માં "-h" વિકલ્પ ઉમેર્યો;
• sshd એ PAM માટે $SSH_CONNECTION પર્યાવરણ ચલનું સેટિંગ પૂરું પાડે છે;
• sshd માટે, ssh_config માં “મેચ ફાઇનલ” મેચિંગ મોડ ઉમેરવામાં આવ્યો છે, જે “મેચ કેનોનિકલ” જેવો છે, પરંતુ હોસ્ટનામ નોર્મલાઇઝેશનને સક્ષમ કરવાની જરૂર નથી;
• બેચ મોડમાં એક્ઝિક્યુટ થયેલા આદેશોના આઉટપુટના અનુવાદને અક્ષમ કરવા માટે sftp પર '@' ઉપસર્ગ માટે સમર્થન ઉમેર્યું;
• જ્યારે તમે આદેશનો ઉપયોગ કરીને પ્રમાણપત્રની સામગ્રી પ્રદર્શિત કરો છો
  "ssh-keygen -Lf /path/certificate" હવે પ્રમાણપત્રને માન્ય કરવા માટે CA દ્વારા ઉપયોગમાં લેવાતું અલ્ગોરિધમ દર્શાવે છે;

• Cygwin પર્યાવરણ માટે સુધારેલ સમર્થન, ઉદાહરણ તરીકે જૂથ અને વપરાશકર્તા નામોની કેસ-સંવેદનશીલ સરખામણી પૂરી પાડવી. Microsoft દ્વારા પૂરા પાડવામાં આવેલ OpenSSH પોર્ટમાં દખલ ટાળવા માટે Cygwin પોર્ટમાં sshd પ્રક્રિયાને cygsshd માં બદલવામાં આવી છે;
• પ્રાયોગિક OpenSSL 3.x શાખા સાથે બિલ્ડ કરવાની ક્ષમતા ઉમેરી;
• નાબૂદ નબળાઈ (CVE-2019-6111) scp ઉપયોગિતાના અમલીકરણમાં, જે હુમલાખોર દ્વારા નિયંત્રિત સર્વરને ઍક્સેસ કરતી વખતે લક્ષ્ય નિર્દેશિકામાંની મનસ્વી ફાઇલોને ક્લાયંટ બાજુ પર ઓવરરાઇટ કરવાની મંજૂરી આપે છે. સમસ્યા એ છે કે scp નો ઉપયોગ કરતી વખતે, સર્વર નક્કી કરે છે કે કઈ ફાઈલો અને ડિરેક્ટરીઓ ક્લાયન્ટને મોકલવી, અને ક્લાયન્ટ ફક્ત પરત કરેલા ઑબ્જેક્ટ નામોની સાચીતા તપાસે છે. ક્લાયન્ટ-સાઇડ ચેકિંગ માત્ર વર્તમાન ડિરેક્ટરી (“../”)ની બહારની મુસાફરીને અવરોધિત કરવા માટે મર્યાદિત છે, પરંતુ મૂળ વિનંતી કરાયેલા નામોથી અલગ નામો ધરાવતી ફાઇલોના ટ્રાન્સફરને ધ્યાનમાં લેતા નથી. પુનરાવર્તિત નકલ (-r) ના કિસ્સામાં, ફાઇલ નામો ઉપરાંત, તમે સમાન રીતે સબડિરેક્ટરીઝના નામોને પણ ચાલાકી કરી શકો છો. ઉદાહરણ તરીકે, જો વપરાશકર્તા હોમ ડિરેક્ટરીમાં ફાઈલોની નકલ કરે છે, તો હુમલાખોર દ્વારા નિયંત્રિત સર્વર વિનંતી કરેલ ફાઈલોને બદલે .bash_aliases અથવા .ssh/authorized_keys નામો સાથે ફાઈલોનું નિર્માણ કરી શકે છે, અને તે વપરાશકર્તાની scp ઉપયોગિતા દ્વારા સાચવવામાં આવશે. હોમ ડિરેક્ટરી.

  નવા પ્રકાશનમાં, scp ઉપયોગિતાને વિનંતી કરેલ ફાઇલ નામો અને સર્વર દ્વારા મોકલવામાં આવેલો વચ્ચેના પત્રવ્યવહારને ચકાસવા માટે અપડેટ કરવામાં આવી છે, જે ક્લાયન્ટ બાજુ પર કરવામાં આવે છે. આ માસ્ક પ્રોસેસિંગમાં સમસ્યા ઊભી કરી શકે છે, કારણ કે માસ્ક વિસ્તરણ અક્ષરો સર્વર અને ક્લાયંટ બાજુઓ પર અલગ રીતે પ્રક્રિયા કરી શકે છે. જો આવા તફાવતોને કારણે ક્લાઈન્ટ scp માં ફાઈલો સ્વીકારવાનું બંધ કરે છે, તો ક્લાઈન્ટ-સાઈડ ચેકિંગને નિષ્ક્રિય કરવા માટે “-T” વિકલ્પ ઉમેરવામાં આવ્યો છે. સમસ્યાને સંપૂર્ણ રીતે સુધારવા માટે, scp પ્રોટોકોલનું વૈચારિક પુનઃકાર્ય જરૂરી છે, જે પોતે પહેલેથી જ જૂનું છે, તેથી તેને બદલે વધુ આધુનિક પ્રોટોકોલ જેમ કે sftp અને rsync નો ઉપયોગ કરવાની ભલામણ કરવામાં આવે છે.

સોર્સ: opennet.ru