Megjelent az OpenSSH 8.8 kiadása, amely egy nyílt forráskódú kliens és szerver a SSH 2.0 és SFTP protokollokhoz. A kiadás figyelemre méltó, mivel alapértelmezés szerint letiltja az RSA kulcsok SHA-1 hash alapú digitális aláírások ("ssh-rsa") használatát.
Az "ssh-rsa" aláírások támogatásának megszüntetését a prefix ütközési támadások hatékonyságának növekedése indokolja (a kollíziók megtalálásának költségét körülbelül 50 ezer dollárra becsülik). Az "ssh-rsa" használatának ellenőrzéséhez megpróbálhatunk SSH-ra csatlakozni az "-oHostKeyAlgorithms=-ssh-rsa" opcióval. Az RSA aláírások SHA-256 és SHA-512 hash-ekkel (rsa-sha2-256/512), amelyek az OpenSSH 7.2 óta támogatottak, változatlanok maradnak.
A legtöbb esetben az "ssh-rsa" támogatásának megszüntetése nem igényel kézi beavatkozást a felhasználóktól, mivel az OpenSSH korábban alapértelmezés szerint engedélyezte az UpdateHostKeys beállítást, amely automatikusan átállította a klienseket megbízhatóbb algoritmusokra. A migrációhoz az "hostkeys@openssh.com" protokoll kiterjesztést használják, amely lehetővé teszi szerverhez az összes elérhető hosztkulcsról való tájékoztatást a kliens számára az azonosítás után. Ha nagyon régi OpenSSH verziójú hosztokhoz csatlakozunk a kliens oldalon, akkor lehetőség van az "ssh-rsa" aláírások használatának szelektív visszaállítására, ha a ~/.ssh/config fájlban hozzáadjuk: Host régi_hoszt_neve HostkeyAlgorithms +ssh-rsa PubkeyAcceptedAlgorithms +ssh-rsa
Az új verzióban szintén orvosolták a biztonsági problémát, amely abból adódott, hogy az sshd 6.2-es kiadásától kezdve helytelenül inicializálták a felhasználói csoportot a AuthorizedKeysCommand és AuthorizedPrincipalsCommand irányelvekben megadott parancsok végrehajtásakor. A megadott irányelveknek más felhasználóként kellene végrehajtaniuk a parancsokat, de valójában örökölték az sshd indításakor használt csoportok listáját. Ez a viselkedés bizonyos rendszerszintű beállítások mellett potenciálisan lehetővé tette a futó feldolgozó számára, hogy további jogosultságokat szerezzen a rendszerben.
A megjegyzésben a legújabb kiadásra vonatkozóan figyelmeztetés jelent meg a scp alapértelmezett átváltási szándékáról SFTP-re, a régi SCP/RCP protokoll helyett. Az SFTP használata során előre meghatározott névkezelési módszerek alkalmazandók, és nem használ glob-minták feldolgozását a fájlnevekben, amelyek másik host környezetében biztonsági problémákat okozhatnak. Különösen, amikor az SCP és RCP alkalmazásra kerül. szerver dönt arról, hogy mely fájlokat és mappákat küldjön el az ügyfélnek, míg az ügyfél csupán ellenőrzi a visszaérkező objektumnevek helyességét; ennek az eljárásnak a hiányában az ügyféloldalon a szerver más fájlneveket is továbbíthat, amelyek eltérnek a kért nevektől. Az SFTP protokoll mentes ezektől a problémáktól, de nem támogatja a speciális utak felfedését, mint például a „~ /”. Ennek a különbségnek a kiküszöbölésére a múltbeli OpenSSH kiadásában egy új SFTP protokoll kiterjesztést javasoltak a ~ / és a ~user / utak felfedésére.
Forrás: opennet.ru
