Nakon pet mjeseci razvoja izdanje , otvorena implementacija klijenta i poslužitelja za rad s protokolima SSH 2.0 i SFTP.
Glavne promjene:
- U ssh i sshd dodana je eksperimentalna podrška za metodu razmjene ključeva otpornih na kvantno računalstvo. Kvantna računala znatno brže rješavaju problem faktorizacije prirodnog broja, koji leži u osnovi modernih asimetričnih algoritama šifriranja i učinkovito je nerazrješiv na klasičnim procesorima. Predložena metoda temelji se na algoritmu (funkcija ntrup4591761), razvijenog za postkvantne kriptosustave, i metodi razmjene ključeva temeljenoj na eliptičnim krivuljama X25519;
- U sshd su u direktivama ListenAddress i PermitOpen obustavljene podrške za zastarjeli sintaksu «host/port», implementiranu 2001. godine kao alternativa «host:port» radi pojednostavljenja rada s IPv6. U modernim uvjetima ustanovljena je sintaksa za IPv6 «[::1]:22», a «host/port» se često miješa s navodnim podmrežama (CIDR);
- U ssh, ssh-agent i ssh-add implementirana je podrška za ključeve u tokenima PKCS#11;
- U ssh-keygen veličina ključa RSA po defaultu povećana je na 3072 bita, u skladu s novim preporukama NIST;
- U ssh dopušteno je korištenje postavke «PKCS11Provider=none» za nadjačavanje direktive PKCS11Provider postavljene u ssh_config;
- U sshd osigurano je prikazivanje u logu situacija kada je veza prekinuta prilikom pokušaja izvršavanja komandi blokiranih ograničenjem «ForceCommand=internal-sftp» u sshd_config;
- U ssh, prilikom prikaza zahtjeva za potvrdu prihvaćanja novog host ključ, umjesto odgovora «yes» sada se prepoznaje ispravni fingerprint otisak ključa (u odgovoru na poziv za potvrđivanje veze, korisnik može zalijepiti zasebno dobiveni referentni hash iz međuspremnika, kako ne bi morao ručno uspoređivati);
- U ssh-keygen osigurano je automatsko povećanje broja sekvence u certifikatu pri stvaranju digitalnih potpisa za nekoliko certifikata u naredbenom retku;
- U scp i sftp dodana je nova opcija «-J», ekvivalentna postavci ProxyJump;
- U ssh-agent, ssh-pkcs11-helper i ssh-add dodana je obrada opcije naredbenog retka «-v» za povećanje informativnosti ispisa (kada se odredi, ova opcija se prosljeđuje i podređenim procesima, na primjer, kada se iz ssh-agenta poziva ssh-pkcs11-helper);
- U ssh-add dodana je opcija «-T» za testiranje pogodnosti ključeva u ssh-agentu za izvođenje operacija stvaranja i verifikacije digitalnih potpisa;
- U sftp-serveru je implementirana podrška za proširenje protokola „lsetstat at openssh.com“, koje dodaje podršku za SFTP operaciju SSH2_FXP_SETSTAT, ali bez praćenja simboličkih linkova;
- U sftp je dodana opcija „-h“ za izvršavanje komandi chown/chgrp/chmod s upitima koji ne koriste simboličke linkove;
- U sshd je omogućeno postavljanje varijable okruženja $SSH_CONNECTION za PAM;
- Za sshd je u ssh_config dodan način usklađivanja „Match final“, sličan „Match canonical“, ali ne zahtijeva uključivanje normalizacije naziva hosta;
- U sftp je dodana podrška za prefiks ‘@’ za isključivanje prevođenja izlaza komandi izvršenih u međuspoju;
- Pri ispisu sadržaja certifikata pomoću komande
„ssh-keygen -Lf /path/certificate“ sada prikazuje algoritam koji je korišten od strane certifikacijskog tela za potpisivanje certifikata; - Poboljšana je podrška za okruženje Cygwin, na primjer omogućeno je poređenje imena grupa i korisnika bez obzira na velika i mala slova. Proces sshd u Cygwinu promijenjen je na cygsshd kako bi se izbegle preklapanja s portom OpenSSH koji isporučuje Microsoft;
- Dodana je mogućnost kompilacije s eksperimentalnom granom OpenSSL 3.x;
- Uklonjena (CVE-2019-6111) u implementaciji alata scp, koji omogućava prepisivanje proizvoljnih datoteka u ciljanom direktoriju na strani klijenta kada se obraća zlonamernom serveru. Problem je u tome što kada se koristi scp, server donosi odluku o tome koje datoteke i direktorije poslati klijentu, dok klijent samo provjerava tačnost vraćenih imena objekata. Provjera na strani klijenta ograničena je samo na blokiranje izlaska iz trenutnog direktorija („.. /“), ali ne uzima u obzir prijenos datoteka s imenima koja se razlikuju od izvorno zatraženih. U slučaju rekurzivnog kopiranja (-r), osim imena datoteka na ovaj način može se manipulirati i imenima poddirektorija. Na primjer, kada korisnik kopira datoteke u svoj domaći direktorij, zlonamjerni kontrolirani server može umjesto traženih datoteka izdati datoteke s imenima .bash_aliases ili .ssh/authorized_keys, a one će biti sačuvane od strane alata scp u korisničkom domaćem direktoriju.
U novom izdanju, alat scp dobio je provjeru usklađenosti zatraženih i poslanih imena datoteka na strani klijenta. Pri tome mogu nastati problemi s obradom maski, budući da se znakovi maski mogu različito obrađivati na strani servera i klijenta. U slučaju da klijent prestane primati datoteke zbog takvih razlika, dodana je opcija "-T" koja omogućuje isključivanje provjere na strani klijenta. Za potpuno rješavanje problema potrebna je konceptualna revizija protokola scp, koji je već zastario, stoga se preporučuje korištenje modernijih protokola, kao što su sftp i rsync.
Izvor: opennet.ru
