Négy hónapos fejlesztés után megjelent az OpenSSH 8.7 kiadása, amely a SSH 2.0 és SFTP protokollokhoz készült nyílt forráskódú kliens- és szervermegoldás.
Főbb változások:
- Az scp-hez hozzáadtak egy kísérleti adatátviteli módot, amely az SFTP protokollt használja a hagyományosan alkalmazott SCP/RCP protokoll helyett. Az SFTP kiszámíthatóbb névkezelési módszereket alkalmaz, és nem használ glob mintafeldolgozást a másik hoszt oldalon, ami biztonsági problémákat okozott. Az SFTP engedélyezésére az scp-ben javasolt a „-s” kapcsoló, de a jövőben az alapértelmezett protokollra kívánnak áttérni.
- Az sftp-serverben megvalósították az SFTP protokoll kiterjesztéseit a ~\/ és ~user\/ útvonalak feltárásához, ami szükséges az scp számára.
- Az scp eszközben megváltozott a fájlok másolásának viselkedése két távoli hoszt között (például: „scp host-a:\/path host-b:”), amely most alapértelmezés szerint egy helyi köztes hoszton keresztül történik, mint a „-3” kapcsoló megadása esetén. Ez a megközelítés lehetővé teszi a felesleges hitelesítési adatok első hosztra való továbbításának elkerülését, valamint a fájlnevek háromszoros értelmezését shell szinten (a forráson, a célon és a helyi rendszeren), és az SFTP használata lehetővé teszi, hogy minden hitelesítési módszert alkalmazzanak távoli hosztok elérésére, nemcsak a nem interaktív módszereket. A régi viselkedés helyreállításához egy „-R” opciót adtak hozzá.
- Az ssh-hoz hozzáadták a ForkAfterAuthentication beállítást, ami megfelel a „-f” kapcsolónak.
- Az ssh-hoz hozzáadták a StdinNull beállítást, ami megfelel a „-n” kapcsolónak.
- Az ssh-hoz hozzáadták a SessionType beállítást, amely lehetővé teszi a „-N” (nincs ülés) és a „-s” (alrendszer) kapcsolóknak megfelelő módok beállítását.
- Az ssh-keygen alkalmazásban a kulcsfájlokban megengedett a kulcs érvényességi intervallumának megadása.
- Az ssh-keygenhez hozzáadták a „-Oprint-pubkey” kapcsolót, amely lehetővé teszi a teljes nyilvános kulcs kiírását az sshsig aláírás keretein belül.
- Az ssh és az sshd, mint kliens és szerver, áttértek egy szigorúbb konfigurációs fájl elemző használatára, amely shell-hasonló idézőjel-, szóköz- és escape karakterfeldolgozási szabályokat alkalmaz. Az új elemző nem hajt végre korábban megengedett feltételezéseket sem, mint például az érvek kihagyását az opciókban (például mostantól nem lehet üres DenyUsers irányelvet megadni), a záró idézőjelek hiányát és több egyenlőségjel megadását.
- SSHFP DNS-bejegyzések használatakor a ssh mostantól minden egyező bejegyzést ellenőriz, nem csupán azokat, amelyek egy adott típusú digitális aláírást tartalmaznak.
- Az ssh-keygen mostantól a FIDO kulcs generálásakor a -Ochallenge opcióval egy beépített réteget használ a hash-eléshez, nem a libfido2 eszközöket, így a challenge-sorozatok több mint 32 byte méretűek is lehetnek.
- Az sshd az authorized_keys fájlokban a environment=»…» direktíva feldolgozásakor mostantól az első egyezést fogadja el, és 1024 környezeti változó nevére vonatkozó korlátozás lép érvénybe.
Az OpenSSH fejlesztői figyelmeztettek a SHA-1 hash-eket használó eljárások elavultságára, mivel a meghatározott prefixumokra irányuló ütközési támadások hatékonysága növekszik (a collision megtalálásának költsége körülbelül 50 ezer dollárra tehető). A következő verzióban a „ssh-rsa” nyilvános kulcsú digitális aláírás algoritmus használatát alapértelmezés szerint le fogják tiltani, amelyet az SSH protokoll eredeti RFC-jében említenek, és a gyakorlatban széles körben elterjedt.
A ssh-rsa alkalmazásának ellenőrzéséhez a rendszereiben megpróbálhat csatlakozni ssh-val a -oHostKeyAlgorithms=-ssh-rsa opció megadásával. Az „ssh-rsa” digitális aláírások alapértelmezett letiltása nem jelenti a RSA kulcsok teljes lemondását, mivel a SHA-1 mellett az SSH protokoll más hash-algoritmusok alkalmazását is lehetővé teszi. Különösen az „ssh-rsa” mellett továbbra is használható a „rsa-sha2-256” (RSA/SHA256) és a „rsa-sha2-512” (RSA/SHA512) páros.
Az OpenSSH új algoritmusokra való áttérésének megkönnyítése érdekében korábban alapértelmezettként engedélyezték az UpdateHostKeys beállítást, amely lehetővé teszi a kliensek automatikus átvitelét megbízhatóbb algoritmusokra. E beállítás segítségével egy speciális protokoll-kiterjesztés aktiválódik: „hostkeys@openssh.com”, amely lehetővé teszi szerverhez hogy az ügyfél az azonosításon átesve tájékoztatást kapjon az összes elérhető hoszt kulcsról. Az ügyfél ezeket a kulcsokat a ~/.ssh/known_hosts fájljában rögzítheti, ami lehetővé teszi a hoszt kulcsok frissítését és megkönnyíti a kulcsok váltását. szerveren.
Az UpdateHostKeys használata néhány feltételhez kötött, amelyek a jövőben visszavonhatók: a kulcsnak szerepelnie kell a UserKnownHostsFile- ban, és nem használható a GlobalKnownHostsFile- ban; a kulcsnak csak egy név alatt kell szerepelnie; nem alkalmazható hoszt kulcs tanúsítvány; a known_hosts- ban nem alkalmazhatók névmaszkok; ki kell kapcsolni a VerifyHostKeyDNS beállítást; a UserKnownHostsFile paraméternek aktívnak kell lennie.
A migrációra ajánlott algoritmusok között szerepel az rsa-sha2-256/512 az RFC8332 RSA SHA-2 alapjain (melyet az OpenSSH 7.2-től támogatnak és alapértelmezettként használnak), a ssh-ed25519 (melyet az OpenSSH 6.5-től támogatnak), és az ecdsa-sha2-nistp256/384/521 az RFC5656 ECDSA alapjain (melyet az OpenSSH 5.7-től támogatnak).
Forrás: opennet.ru
