ओपनएसएसएच 8.0 का विमोचन

पांच महीने के विकास के बाद प्रस्तुत релиз ओपनएसएसएच एक्सएनयूएमएक्स, SSH 2.0 और SFTP प्रोटोकॉल के माध्यम से काम करने के लिए एक खुला क्लाइंट और सर्वर कार्यान्वयन।

मुख्य परिवर्तन:

• एक प्रमुख विनिमय पद्धति के लिए प्रायोगिक समर्थन जो क्वांटम कंप्यूटर पर क्रूर-बल के हमलों के लिए प्रतिरोधी है, ssh और sshd में जोड़ा गया है। क्वांटम कंप्यूटर एक प्राकृतिक संख्या को अभाज्य कारकों में विघटित करने की समस्या को हल करने में मौलिक रूप से तेज़ हैं, जो आधुनिक असममित एन्क्रिप्शन एल्गोरिदम का आधार है और इसे शास्त्रीय प्रोसेसर पर प्रभावी ढंग से हल नहीं किया जा सकता है। प्रस्तावित विधि एल्गोरिथम पर आधारित है एनटीआरयू प्राइम (फ़ंक्शन ntrup4591761), पोस्ट-क्वांटम क्रिप्टोसिस्टम और अण्डाकार वक्र कुंजी विनिमय विधि X25519 के लिए विकसित;
• Sshd में, लिसनएड्रेस और परमिटओपन निर्देश अब पुराने "होस्ट/पोर्ट" सिंटैक्स का समर्थन नहीं करते हैं, जिसे 2001 में IPv6 के साथ काम करना आसान बनाने के लिए "होस्ट:पोर्ट" के विकल्प के रूप में लागू किया गया था। आधुनिक परिस्थितियों में, आईपीवी6 के लिए सिंटैक्स "[::1]:22" स्थापित किया गया है, और "होस्ट/पोर्ट" को अक्सर सबनेट (सीआईडीआर) को इंगित करने के साथ भ्रमित किया जाता है;
• ssh, ssh-एजेंट और ssh-add अब कुंजी का समर्थन करते हैं ECDSA PKCS#11 टोकन में;
• Ssh-keygen में, नई NIST अनुशंसाओं के अनुसार, डिफ़ॉल्ट RSA कुंजी आकार को 3072 बिट्स तक बढ़ा दिया गया है;
• ssh, ssh_config में निर्दिष्ट PKCS11Provider निर्देश को ओवरराइड करने के लिए "PKCS11Provider=none" सेटिंग के उपयोग की अनुमति देता है;
• sshd उन स्थितियों का एक लॉग डिस्प्ले प्रदान करता है जब sshd_config में "ForceCommand=internal-sftp" प्रतिबंध द्वारा अवरुद्ध आदेशों को निष्पादित करने का प्रयास करते समय कनेक्शन समाप्त हो जाता है;
• एसएसएच में, नई होस्ट कुंजी की स्वीकृति की पुष्टि करने का अनुरोध प्रदर्शित करते समय, "हां" प्रतिक्रिया के बजाय, कुंजी का सही फिंगरप्रिंट अब स्वीकार किया जाता है (कनेक्शन की पुष्टि करने के निमंत्रण के जवाब में, उपयोगकर्ता प्रतिलिपि बना सकता है क्लिपबोर्ड के माध्यम से अलग से प्राप्त संदर्भ हैश, ताकि मैन्युअल रूप से इसकी तुलना न की जा सके);
• कमांड लाइन पर एकाधिक प्रमाणपत्रों के लिए डिजिटल हस्ताक्षर बनाते समय ssh-keygen प्रमाणपत्र अनुक्रम संख्या की स्वचालित वृद्धि प्रदान करता है;
• ProxyJump सेटिंग के समतुल्य, scp और sftp में एक नया विकल्प "-J" जोड़ा गया है;
• ssh-एजेंट, ssh-pkcs11-helper और ssh-add में, आउटपुट की सूचना सामग्री को बढ़ाने के लिए "-v" कमांड लाइन विकल्प की प्रोसेसिंग जोड़ी गई है (जब निर्दिष्ट किया जाता है, तो यह विकल्प चाइल्ड प्रोसेस को पास कर दिया जाता है, उदाहरण के लिए, जब ssh-pkcs11-helper को ssh-एजेंट से कॉल किया जाता है);
• डिजिटल हस्ताक्षर निर्माण और सत्यापन संचालन करने के लिए ssh-एजेंट में कुंजियों की उपयुक्तता का परीक्षण करने के लिए ssh-add में "-T" विकल्प जोड़ा गया है;
• sftp-सर्वर "lsetstat at openingsh.com" प्रोटोकॉल एक्सटेंशन के लिए समर्थन लागू करता है, जो SFTP के लिए SSH2_FXP_SETSTAT ऑपरेशन के लिए समर्थन जोड़ता है, लेकिन प्रतीकात्मक लिंक का पालन किए बिना;
• उन अनुरोधों के साथ chown/chgrp/chmod कमांड चलाने के लिए sftp में "-h" विकल्प जोड़ा गया जो प्रतीकात्मक लिंक का उपयोग नहीं करते हैं;
• sshd PAM के लिए $SSH_CONNECTION पर्यावरण चर की सेटिंग प्रदान करता है;
• Sshd के लिए, ssh_config में एक "मैच फ़ाइनल" मिलान मोड जोड़ा गया है, जो "मैच कैनोनिकल" के समान है, लेकिन सक्षम होने के लिए होस्टनाम सामान्यीकरण की आवश्यकता नहीं है;
• बैच मोड में निष्पादित कमांड के आउटपुट के अनुवाद को अक्षम करने के लिए sftp में '@' उपसर्ग के लिए समर्थन जोड़ा गया;
• जब आप कमांड का उपयोग करके किसी प्रमाणपत्र की सामग्री प्रदर्शित करते हैं
  "ssh-keygen -Lf /path/certificate" अब प्रमाणपत्र को सत्यापित करने के लिए CA द्वारा उपयोग किए गए एल्गोरिदम को प्रदर्शित करता है;

• सिगविन वातावरण के लिए बेहतर समर्थन, उदाहरण के लिए समूह और उपयोगकर्ता नामों की केस-असंवेदनशील तुलना प्रदान करना। माइक्रोसॉफ्ट द्वारा प्रदत्त ओपनएसएसएच पोर्ट के साथ हस्तक्षेप से बचने के लिए सिग्विन पोर्ट में एसएसएचडी प्रक्रिया को सिग्सएचडी में बदल दिया गया है;
• प्रायोगिक OpenSSL 3.x शाखा के साथ निर्माण करने की क्षमता जोड़ी गई;
• सफाया भेद्यता (सीवीई-2019-6111) एससीपी उपयोगिता के कार्यान्वयन में, जो किसी हमलावर द्वारा नियंत्रित सर्वर तक पहुंचने पर लक्ष्य निर्देशिका में मनमानी फ़ाइलों को क्लाइंट साइड पर ओवरराइट करने की अनुमति देता है। समस्या यह है कि एससीपी का उपयोग करते समय, सर्वर तय करता है कि क्लाइंट को कौन सी फाइलें और निर्देशिकाएं भेजनी हैं, और क्लाइंट केवल लौटाए गए ऑब्जेक्ट नामों की शुद्धता की जांच करता है। क्लाइंट-साइड जाँच केवल वर्तमान निर्देशिका ("../") से परे यात्रा को अवरुद्ध करने तक ही सीमित है, लेकिन मूल रूप से अनुरोधित नामों से भिन्न नामों वाली फ़ाइलों के स्थानांतरण को ध्यान में नहीं रखती है। पुनरावर्ती प्रतिलिपि (-r) के मामले में, फ़ाइल नामों के अलावा, आप उपनिर्देशिकाओं के नामों में भी इसी तरह से हेरफेर कर सकते हैं। उदाहरण के लिए, यदि उपयोगकर्ता फ़ाइलों को होम निर्देशिका में कॉपी करता है, तो हमलावर द्वारा नियंत्रित सर्वर अनुरोधित फ़ाइलों के बजाय .bash_aliases या .ssh/authorized_keys नाम वाली फ़ाइलें उत्पन्न कर सकता है, और उन्हें उपयोगकर्ता की एससीपी उपयोगिता द्वारा सहेजा जाएगा। घरेलू निर्देशिका।

  नई रिलीज में, अनुरोधित फ़ाइल नामों और सर्वर द्वारा भेजे गए फ़ाइल नामों के बीच पत्राचार की जांच करने के लिए एससीपी उपयोगिता को अद्यतन किया गया है, जो क्लाइंट पक्ष पर किया जाता है। इससे मास्क प्रसंस्करण में समस्याएँ हो सकती हैं, क्योंकि मास्क विस्तार वर्णों को सर्वर और क्लाइंट पक्षों पर अलग-अलग तरीके से संसाधित किया जा सकता है। यदि ऐसे मतभेदों के कारण क्लाइंट एससीपी में फ़ाइलें स्वीकार करना बंद कर देता है, तो क्लाइंट-साइड चेकिंग को अक्षम करने के लिए "-टी" विकल्प जोड़ा गया है। समस्या को पूरी तरह से ठीक करने के लिए, एससीपी प्रोटोकॉल की एक वैचारिक पुनर्रचना की आवश्यकता है, जो पहले से ही पुराना है, इसलिए इसके बजाय एसएफटीपी और आरसिंक जैसे अधिक आधुनिक प्रोटोकॉल का उपयोग करने की अनुशंसा की जाती है।

स्रोत: opennet.ru