Öt hónapos fejlesztés után kiadás , nyílt forrású ügyfél- és szervermegoldás az SSH 2.0 és SFTP protokollok használatához.
Főbb változások:
- Az ssh és sshd kísérleti támogatást kaptak a kvantumszámítógép-ellenálló kulcscserélési módszerhez. A kvantumszámítógépek alapvetően gyorsabban oldják meg a természetes számok prímtényezőkre bontásának feladatát, amely a modern aszimmetrikus titkosító algoritmusok alapja, és hatékonyan nem megoldható klasszikus processzorokon. A javasolt módszer az algoritmusra alapoz (ntrup4591761 funkció), amelyet posztkvantum kriptográfiai rendszerekhez fejlesztettek ki, és az X25519 elliptikus görbén alapuló kulcscserélési módszerre;
- Az sshd-ben a ListenAddress és PermitOpen direktívákban megszűnt a 2001-ben alternatívaként bevezetett elavult «host/port» szintaxis támogatása, amely a IPv6 használatának megkönnyítésére szolgált. A modern környezetben az IPv6 számára a «[::1]:22» szintaxis alakult ki, míg a «host/port» gyakran összekeverhető a hálózati címke (CIDR) megadásával;
- Az ssh, ssh-agent és ssh-add támogatja a kulcsok PKCS#11 tokenekben;
- Az ssh-keygen alapértelmezett RSA kulcsméretét 3072 bitre növelték az NIST új ajánlásainak megfelelően;
- Az ssh-nál engedélyezett a «PKCS11Provider=none» beállítás használata a ssh_config fájlban megadott PKCS11Provider direktíva felülírására;
- Az sshd logban megjelenítette azokat az eseteket, amikor a kapcsolat a «ForceCommand=internal-sftp» korlátozás miatt parancsok végrehajtási kísérletekor megszűnt a sshd_config-ból;
- Az ssh-nál, amikor egy új hoszt kulcsának elfogadására vonatkozó megerősítési kérést adnak ki, a válaszként kapott «yes» helyett most már a kulcs helyes ujjlenyomatát fogadják el (a felhasználó a kliensprotokollon keresztül másolhatja az együtt érkezett hivatásos hash-t, így manuálisan nem kell összehasonlítania);
- Az ssh-keygen automatikusan növeli a szekvenciát a tanúsítványok számának digitalis aláírása során a parancssorban;
- Az scp és sftp új «-J» opciót kaptak, amely megfelel a ProxyJump beállításnak;
- Az ssh-agent, ssh-pkcs11-helper és ssh-add támogatja a parancssori opciók «-v» feldolgozását a kimenet tájékoztatásának fokozása érdekében (ha meg van adva, ez az opció átkerül a gyermek folyamatokba, például amikor az ssh-agentből hívják az ssh-pkcs11-helper-t);
- Az ssh-add új «-T» opciót kapott a kulcsok ssh-agentben való alkalmasságának tesztelésére digitális aláírások létrehozásához és ellenőrzéséhez;
- Az sftp-server implementálta a «lsetstat at openssh.com» protokollkiterjesztés támogatását, amely az SFTP-hez hozzáadja az SSH2_FXP_SETSTAT műveletet, de nem követi a szimbolikus hivatkozásokat;
- Az sftp-hez hozzáadva lett a «-h» opció, amely lehetővé teszi a chown/chgrp/chmod parancsok végrehajtását szimbolikus hivatkozásokat nem használó lekérdezésekkel;
- Az sshd biztosítja a $SSH_CONNECTION környezeti változó beállítását a PAM számára;
- Az sshd-hez az ssh_config-ben új «Match final» párhuzam mód került hozzáadásra, amely analóg a «Match canonical»-lal, de nem igényli a hosztnév normalizálását;
- Az sftp-hez hozzáadva lett az ‘@’ előtag támogatása a parancsok kimenetének visszafordításának letiltására, amelyek sorozatban futnak;
- A tanúsítvány tartalmának megjelenítése a parancs segítségével
«ssh-keygen -Lf /path/certificate» mostantól mutatja a tanúsítványt aláíró hatóság által használt algoritmust; - Javították a Cygwin környezet támogatását, például lehetővé téve a felhasználói és csoportnevek kis- és nagybetűk szerinti összehasonlítását. A Cygwin port sshd folyamata cygsshd-ra változott, hogy elkerüljék az OpenSSH Microsoft által szállított portjával való ütközéseket;
- Lehetséges a fejlesztési OpenSSL 3.x ágon történő fordítás;
- a (CVE-2019-6111) a scp segédprogram megvalósítása, amely lehetővé teszi a célnév nélküli tetszőleges fájlok felülírását a kliens oldalán, amikor egy támadó által ellenőrzött szerverhez fordulnak. A probléma abban rejlik, hogy az scp használatakor a szerver dönti el, hogy mely fájlokat és mappákat küldjön el a kliensnek, míg a kliens csak az általa visszakapott objektumnevek érvényességét ellenőrzi. A kliensoldali ellenőrzés csak a jelenlegi mappán kívüli kimenetek blokkolására korlátozódik («.. /»), de nem veszi figyelembe a kezdetben kért nevektől eltérő nevű fájlok átvitelét. Rekurzív másolás (-r) esetén a fájlneveken kívül a mappaneveken is manipulálhatnak. Például, ha a felhasználó a saját mappájába másol fájlokat, a támadók által ellenőrzött szerver kérhető fájlok helyett .bash_aliases vagy .ssh/authorized_keys nevű fájlokat is adhat, és ezek a scp segédprogram által a felhasználó saját mappájában lesznek elmentve.
Az új kiadásban az scp segédprogramhoz hozzáadták a kért és a szerver által megadott fájlnevek egyezőségének ellenőrzését, amely a kliens oldalon történik. Ennek során problémák léphetnek fel a maszkok feldolgozásával, mivel a maszkok kibővítésére használt karakterek a szerver és a kliens oldalán eltérően kezelhetők. Arra az esetre, ha a kliens hasonló eltérések miatt nem fogadna el fájlokat, az scp-hez hozzáadtak egy "-T" opciót, amely lehetővé teszi az ellenőrzés kikapcsolását a kliens oldalon. A probléma teljes körű megoldásához az scp protokoll koncepcionális átdolgozása szükséges, amely önmagában már elavult, ezért javasolt a modernebb protokollok, mint az sftp és rsync használata.
Forrás: opennet.ru
