Nakon šest mjeseci razvoja izdanje , otvorena implementacija klijenta i poslužitelja za rad s protokolima SSH 2.0 i SFTP.
U novom izdanju posebno se ističe rješavanje ranjivosti koja pogađa ssh, sshd, ssh-add i ssh-keygen. Problem se javlja u kodu za parsiranje privatnih ključeva tipa XMSS i omogućava napadaču da inicira cjelobrojno prelivanje. Ranjivost je označena kao eksploatabilna, ali rijetko primjenjiva, budući da podrška za XMSS ključeve spada u eksperimentalne mogućnosti, onemogućene prema zadanim postavkama (u prenosivoj verziji u autoconf čak nije predviđena opcija za uključivanje XMSS).
Glavne promjene:
- u ssh, sshd i ssh-agent kod koji sprječava obnavljanje privatnog ključa u radnoj memoriji tijekom izvođenja napada putem bočnih kanala, kao što su , i . Privatni ključevi sada se šifriraju prilikom učitavanja u memoriju i dešifriraju se samo tijekom korištenja, ostajući tijekom tog vremena šifrirani. Ovim pristupom, za uspješno obnavljanje privatnog ključa, napadaču je potrebno prethodno rekonstruirati nasumično generirani međuključ veličine 16 KB koji se koristi za šifriranje glavnog ključa, što je malo vjerojatno s obzirom na učestalost pogrešaka pri obnovi karakterističnu za moderne napade;
- U dodana je eksperimentalna podrška pojednostavljenoj shemi stvaranja i verifikacije digitalnih potpisa. Digitalni potpisi mogu se stvarati pomoću običnih SSH ključeva pohranjenih na disku ili u ssh-agentu, a verifikovati koristeći sličan popis odobrenih ključeva ssh-keygen je po defaultu prebačen na korištenje algoritma rsa-sha2-512 prilikom ovjere certifikata digitalnim potpisom temeljenim na RSA ključu (prilikom rada u CA modu). Ovi certifikati nisu kompatibilni s izdanjima prije OpenSSH 7.2 (za očuvanje kompatibilnosti potrebno je predefinirati tip algoritma, na primjer pozivom „ssh-keygen -t ssh-rsa -s …“);
- U ssh-u u izrazu ProxyCommand implementirana je podrška za razrađivanje zamjenske oznake „%n” (navedeno u adresnoj traci);
- U ssh-u u izrazu ProxyCommand implementirana je podrška za proširivanje zamjenskog znaka „%n“ (navedeno u adresnoj liniji ime hosta);
- U popisima algoritama šifriranja za ssh i sshd, za umetanje predloženih algoritama prema zadanim postavkama sada možete koristiti znak „^“. Na primjer, za dodavanje ssh-ed25519 u zadani popis možete navesti „HostKeyAlgorithms ^ssh-ed25519“;
- U ssh-keygen osiguran je ispis komentara priloženog uz ključ prilikom izdvajanja javnog ključa iz privatnog;
- U ssh-keygen dodana je mogućnost korištenja oznake „-v“ prilikom izvođenja operacija pretraživanja ključeva (na primjer, „ssh-keygen -vF host“), čime se dobiva vizualni ispis potpisa domaćina;
- Dodana je mogućnost korištenja kao alternativni format za pohranu privatnih ključeva na disku. Prema zadanim postavkama i dalje se koristi PEM format, dok PKCS8 može biti koristan za postizanje kompatibilnosti s aplikacijama trećih strana.
Izvor: opennet.ru
