Nakon \u010detiri mjeseca razvoja, predstavljena je verzija OpenSSH 8.7, otvorene implementacije klijenta i poslu\u017eitelja za rad putem protokola SSH 2.0 i SFTP. <\/p>\n
Glavne promjene: <\/p>\n
\n
U scp je dodan eksperimentalni na\u010din prijenosa podataka koriste\u0107i SFTP protokol umjesto tradicionalno kori\u0161tenog SCP\/RCP protokola. U SFTP-u se koriste predvidljivije metode obrade imena i ne koristi se obrada glob obrazaca putem shell-a na strani drugog hosta, \u0161to stvara sigurnosne probleme. Za uklju\u010divanje SFTP-a u scp predlo\u017een je flag «-s», ali se planira da se u budu\u0107nosti pre\u0111e na ovaj protokol kao zadani.\n
U sftp-serveru implementirana su pro\u0161irenja protokola SFTP za otkrivanje putanja ~\/ i ~user\/, \u0161to je potrebno za scp.\n
U alatu scp promijenjeno je pona\u0161anje prilikom kopiranja datoteka izme\u0111u dva udaljena hosta (na primjer, «scp host-a:\u2044path host-b:»), koje se sada po defaultu obavlja putem posredni\u010dkog lokalnog hosta, kao kad se koristi flag «-3». Ovaj pristup omogu\u0107ava izbjegavanje prijenosa suvi\u0161nih korisni\u010dkih podataka na prvi host i trostruke interpretacije imena datoteka u shell-u (na strani izvora, odredi\u0161ta i lokalnog sustava), a kori\u0161tenjem SFTP-a omogu\u0107ava kori\u0161tenje svih metoda autentifikacije pri pristupanju udaljenim hostovima, a ne samo neinteraktivnih metoda. Dodana je opcija «-R» za vra\u0107anje starog pona\u0161anja.\n
U ssh je dodana postavka ForkAfterAuthentication, koja odgovara flagu «-f».\n
U ssh je dodana postavka StdinNull, koja odgovara flagu «-n».\n
U ssh je dodana postavka SessionType, putem koje se mogu postaviti modusi koji odgovaraju flagovima «-N» (bez sesije) i «-s» (subsystem).\n
U ssh-keygen u datotekama s klju\u010devima dopu\u0161teno je odre\u0111ivanje razdoblja va\u017eenja klju\u010da.\n
U ssh-keygen je dodan flag «-Oprint-pubkey» za ispisivanje kompletnog javnog klju\u010da u okviru potpisa sshsig.\n
U ssh i sshd, kako klijent, tako i server, pre\u0161li su na kori\u0161tenje stro\u017eeg parsera datoteka konfiguracije, u kojem se primjenjuju pravila sli\u010dna shell-u za obradu znakova, razmaka i escape znakova. Novi parser tako\u0111er ne propu\u0161ta ranije postavljene pretpostavke, kao \u0161to su propu\u0161tanje argumenata u opcijama (na primjer, sada nije mogu\u0107e ostaviti praznu direktivu DenyUsers), neodgovaraju\u0107e zatvorene navodnike i navo\u0111enje vi\u0161e simbola «=».\n
Kada se koriste DNS zapisi SSHFP za verifikaciju klju\u010deva, ssh sada proverava sve podudarne zapise, a ne samo one koji sadr\u017ee odre\u0111eni tip digitalnog potpisa.\n
U ssh-keygen prilikom generisanja FIDO klju\u010da s opcijom -Ochallenge za he\u0161iranje sada se koristi ugra\u0111ena me\u0111uslojna komponenta, a ne alati libfido2, \u0161to omogu\u0107ava kori\u0161\u0107enje challenge sekvenci ve\u0107ih ili manjih od 32 bajta.\n
U sshd-u, prilikom obrade direktive environment=»…» u datotekama authorized_keys, sada se prihva\u0107a prvo podudaranje i primjenjuje se ograni\u010denje od 1024 imena varijabli okru\u017eenja. <\/ul>\n
Razvija\u010di OpenSSH tako\u0111er su upozorili na prebacivanje u kategoriju zastarjelih algoritama koji koriste SHA-1 sa\u017eetke, zbog pove\u0107ane u\u010dinkovitosti napada na kolizije s unaprijed definiranim prefiksom (tro\u0161kovi za pronala\u017eenje kolizije procjenjuju se na otprilike 50 tisu\u0107a dolara). U sljede\u0107em izdanju planira se isklju\u010diti po defaultu mogu\u0107nost kori\u0161tenja algoritma digitalnog potpisivanja javnim klju\u010dem «ssh-rsa», koji se spominje u originalnom RFC-u za SSH protokol i ostaje \u0161iroko rasprostranjen u praksi. <\/p>\n
Za provjeru upotrebe ssh-rsa u svojim sustavima mo\u017eete poku\u0161ati spojiti se putem SSH s opcijom \u00ab-oHostKeyAlgorithms=-ssh-rsa\u00bb. Me\u0111utim, prema zadanim postavkama, isklju\u010divanje digitalnih potpisa \u00abssh-rsa\u00bb ne zna\u010di potpunu odustajanje od kori\u0161tenja RSA klju\u010deva, jer SSH protokol, osim SHA-1, dopu\u0161ta kori\u0161tenje drugih algoritama za izra\u010dunavanje hash-a. Konkretno, osim \u00abssh-rsa\u00bb bit \u0107e dostupna i kori\u0161tenje kombinacija \u00abrsa-sha2-256\u00bb (RSA\/SHA256) i \u00abrsa-sha2-512\u00bb (RSA\/SHA512). <\/p>\n