Objavljeno je izdanje OpenSSH 9.9, otvorene implementacije klijenta i poslužitelja za rad s protokolima SSH 2.0 i SFTP. Glavne promjene:
- U ssh i sshd dodana je podrška za hibridni algoritam razmjene ključeva „mlkem768x25519-sha256“, otporan na pokušaje otkrivanja na kvantnom računalu, koji predstavlja kombinaciju X25519 ECDH i algoritma ML-KEM (CRYSTALS-Kyber), nedavno standardiziranog od strane Nacionalnog instituta za standarde i tehnologiju SAD-a (NIST). ML-KEM koristi metode kriptografije koje se temelje na rješavanju problema iz teorije rešetki, čije vrijeme rješavanja nije različito na klasičnim i kvantnim računalima.
- U konfiguracijski datoteci sshd_config dodana je ključno riječ „RefuseConnection“, koja, kada je postavljena, uzrokuje da sshd zatvara veze nakon prvog pokušaja autentifikacije. U direktivu PerSourcePenalties dodana je klasa „refuseconnection“, koja se primjenjuje prilikom zatvaranja veze nakon aktivacije „RefuseConnection“.
- U klijentu ssh ukinuta je podrška za kompresiju podataka prije autentifikacije, što značajno povećava površinu napada na SSH poslužitelje i stvara rizike za primjenu neizravnih metoda analize informacija koje se šalju tijekom autentifikacije. U serveru sshd je kompresija prije autentifikacije prethodno isključena.
- U ssh i sshd prilikom obrade argumenata direktive „Match“ korištena su pravila slična shell-u za rad s stringovima u navodnicima, koja podržavaju ugniježdene okvire i escaping pomoću znaka „\“.
- U konfiguracijskoj datoteci ssh_config u direktivi „Include“ omogućena je podrška za varijable okruženja i „%“-substitucije, iste kao u direktivi „Match Exec“.
- U sshd_config u direktivu Match dodana je opcija „invalid-user“, koja se aktivira prilikom pokušaja prijave s neispravnim korisničkim imenom.
- U ssh i sshd korištena je brža implementacija algoritma „Streamlined NTRUPrime“. Hibridnom algoritmu razmjene ključeva Streamlined NTRUPrime/X25519 dodana je mogućnost korištenja imena „sntrup761x25519-sha512“, pored specifičnog za SSH imena „sntrup761x25519-sha512@openssh.com“.
- U ssh, sshd i ssh-agent dodana je zaštita od osipanja privatnih ključeva u core datotekama koja radi na OpenBSD, Linux i FreeBSD.
- Obrada ključeva prebačena je na korištenje API-ja EVP_PKEY, koji pruža biblioteka libcrypto.
- U sshd je dodano nasumično promjenjivo vrijeme isteka veze (LoginGraceTime) unutar 4 sekunde kako bi se otežalo određivanje isteka vremenskog ograničenja.
- Problemi s izradom s Musl bibliotekom su riješeni.
Izvor: opennet.ru
