OpenSSH 8.3 રિલીઝ scp નબળાઈને સુધારે છે

વિકાસના ત્રણ મહિના પછી પ્રસ્તુત પ્રકાશન OpenSSH 8.3, SSH 2.0 અને SFTP પ્રોટોકોલ દ્વારા કામ કરવા માટે એક ઓપન ક્લાયંટ અને સર્વર અમલીકરણ.

નવી રીલીઝ scp હુમલાઓ સામે રક્ષણ ઉમેરે છે જે સર્વરને વિનંતી કરેલ કરતાં અન્ય ફાઈલ નામો પસાર કરવાની પરવાનગી આપે છે (જેના વિરોધમાં ભૂતકાળની નબળાઈ, હુમલો વપરાશકર્તા દ્વારા પસંદ કરેલી ડિરેક્ટરી અથવા ગ્લોબ માસ્કને બદલવાનું શક્ય બનાવતું નથી). યાદ કરો કે SCP માં, સર્વર નક્કી કરે છે કે કઈ ફાઇલો અને ડિરેક્ટરીઓ ક્લાયંટને મોકલવી, અને ક્લાયંટ ફક્ત પરત કરેલા ઑબ્જેક્ટ નામોની સાચીતા તપાસે છે. ઓળખાયેલ સમસ્યાનો સાર એ છે કે જો utimes સિસ્ટમ કૉલ નિષ્ફળ જાય, તો ફાઇલના સમાવિષ્ટોને ફાઇલ મેટાડેટા તરીકે અર્થઘટન કરવામાં આવે છે.

આ સુવિધા, હુમલાખોર દ્વારા નિયંત્રિત સર્વર સાથે કનેક્ટ કરતી વખતે, અન્ય ફાઇલ નામો અને અન્ય સામગ્રીને વપરાશકર્તાના FS માં સાચવવા માટે વાપરી શકાય છે જ્યારે રૂપરેખાંકનોમાં scp નો ઉપયોગ કરીને કૉપિ કરવામાં આવે છે જે યુટાઇમ્સને કૉલ કરતી વખતે નિષ્ફળતા તરફ દોરી જાય છે (ઉદાહરણ તરીકે, જ્યારે યુટાઇમ્સ દ્વારા પ્રતિબંધિત હોય ત્યારે SELinux નીતિ અથવા સિસ્ટમ કૉલ ફિલ્ટર) . વાસ્તવિક હુમલાઓની સંભાવના ન્યૂનતમ હોવાનો અંદાજ છે, કારણ કે લાક્ષણિક રૂપરેખાંકનોમાં યુટાઇમ્સ કૉલ નિષ્ફળ થતો નથી. વધુમાં, હુમલો કોઈનું ધ્યાન જતું નથી - જ્યારે scp પર કૉલ કરવામાં આવે છે, ત્યારે ડેટા ટ્રાન્સફર ભૂલ બતાવવામાં આવે છે.

સામાન્ય ફેરફારો:

• sftp માં, ssh અને scp ની જેમ “-1” દલીલની પ્રક્રિયા બંધ કરવામાં આવી છે, જે અગાઉ સ્વીકારવામાં આવી હતી પરંતુ અવગણવામાં આવી હતી;
• sshd માં, IgnoreRhosts નો ઉપયોગ કરતી વખતે, હવે ત્રણ વિકલ્પો છે: "હા" - rhosts/shosts ને અવગણો, "ના" - rhosts/shosts ને માન આપો, અને "shosts-only" - ".shosts" ને મંજૂરી આપો પરંતુ ".rhosts" ને અક્ષમ કરો;
• Ssh હવે યુનિક્સ સોકેટ્સને રીડાયરેક્ટ કરવા માટે વપરાતી લોકલફોવર્ડ અને રીમોટફોરવર્ડ સેટિંગ્સમાં %TOKEN અવેજી સંભાળે છે;
• જો સાર્વજનિક કી સાથે કોઈ અલગ ફાઇલ ન હોય તો ખાનગી કી વડે એનક્રિપ્ટેડ ફાઇલમાંથી સાર્વજનિક કીને લોડ કરવાની મંજૂરી આપો;
• જો libcrypto સિસ્ટમમાં ઉપલબ્ધ હોય, તો ssh અને sshd હવે આ લાઇબ્રેરીમાંથી chacha20 અલ્ગોરિધમના અમલીકરણનો ઉપયોગ કરે છે, બિલ્ટ-ઇન પોર્ટેબલ અમલીકરણને બદલે, જે કામગીરીમાં પાછળ રહે છે;
• "ssh-keygen -lQf /path" આદેશનો અમલ કરતી વખતે રદ કરાયેલ પ્રમાણપત્રોની દ્વિસંગી સૂચિની સામગ્રીને ડમ્પ કરવાની ક્ષમતાનો અમલ કર્યો;
• પોર્ટેબલ વર્ઝન સિસ્ટમ્સની વ્યાખ્યાઓ અમલમાં મૂકે છે જેમાં SA_RESTART વિકલ્પ સાથેના સિગ્નલો પસંદગીની કામગીરીમાં વિક્ષેપ પાડે છે;
• HP/UX અને AIX સિસ્ટમો પર બિલ્ડ સમસ્યાઓ ઉકેલાઈ ગઈ છે;
• અમુક Linux રૂપરેખાંકનો પર seccomp સેન્ડબોક્સ બનાવવાની સમસ્યા ઉકેલાઈ;
• સુધારેલ libfido2 લાઇબ્રેરી શોધ અને "--with-security-key-builtin" વિકલ્પ સાથે બિલ્ડ સમસ્યાઓનું નિરાકરણ.

ઓપનએસએસએચ ડેવલપર્સે પણ ફરી એકવાર SHA-1 હેશનો ઉપયોગ કરીને અલ્ગોરિધમ્સના તોળાઈ રહેલા વિઘટન વિશે ચેતવણી આપી હતી. પ્રમોશન આપેલ ઉપસર્ગ સાથે અથડામણના હુમલાની અસરકારકતા (અથડામણને પસંદ કરવાની કિંમત અંદાજે 45 હજાર ડોલર છે). આગામી પ્રકાશનોમાંના એકમાં, તેઓ પબ્લિક કી ડિજિટલ સિગ્નેચર અલ્ગોરિધમ "ssh-rsa" નો ઉપયોગ કરવાની ક્ષમતાને ડિફૉલ્ટ રૂપે અક્ષમ કરવાની યોજના ધરાવે છે, જેનો ઉલ્લેખ SSH પ્રોટોકોલ માટે મૂળ RFC માં કરવામાં આવ્યો છે અને વ્યવહારમાં વ્યાપકપણે રહે છે (ઉપયોગને ચકાસવા માટે. તમારી સિસ્ટમમાં ssh-rsa નું, તમે ssh દ્વારા "-oHostKeyAlgorithms=-ssh-rsa" વિકલ્પ સાથે જોડાણ કરવાનો પ્રયાસ કરી શકો છો).

OpenSSH માં નવા એલ્ગોરિધમ્સમાં સંક્રમણને સરળ બનાવવા માટે, ભવિષ્યમાં રીલીઝમાં UpdateHostKeys સેટિંગ ડિફોલ્ટ રૂપે સક્ષમ કરવામાં આવશે, જે આપમેળે ગ્રાહકોને વધુ વિશ્વસનીય અલ્ગોરિધમ્સમાં સ્થાનાંતરિત કરશે. સ્થળાંતર માટે ભલામણ કરેલ અલ્ગોરિધમ્સમાં RFC2 RSA SHA-256 પર આધારિત rsa-sha512-8332/2 (OpenSSH 7.2 થી સપોર્ટેડ અને ડિફૉલ્ટ રૂપે વપરાયેલ), ssh-ed25519 (OpenSSH 6.5 થી સપોર્ટેડ) અને ecdsa-sha2-nistp256/384/521 આધારિત સમાવેશ થાય છે. RFC5656 ECDSA પર (OpenSSH 5.7 થી સપોર્ટેડ).

છેલ્લા પ્રકાશન મુજબ, "ssh-rsa" અને "diffie-hellman-group14-sha1" ને CASignatureAlgorithms સૂચિમાંથી દૂર કરવામાં આવ્યા છે જે નવા પ્રમાણપત્રો પર ડિજિટલી હસ્તાક્ષર કરવાની મંજૂરી આપતા અલ્ગોરિધમ્સને વ્યાખ્યાયિત કરે છે, કારણ કે પ્રમાણપત્રોમાં SHA-1 નો ઉપયોગ વધારાનું જોખમ ઊભું કરે છે. તેના કારણે હુમલાખોર પાસે હાલના પ્રમાણપત્ર માટે અથડામણ શોધવા માટે અમર્યાદિત સમય છે, જ્યારે હોસ્ટ કી પરના હુમલાનો સમય કનેક્શન સમયસમાપ્તિ (LoginGraceTime) દ્વારા મર્યાદિત છે.

સોર્સ: opennet.ru