Megjelent az OpenSSH 9.9, az SSH 2.0 és SFTP protokollokhoz készült kliens és szerver nyílt forráskódú megvalósítása. Főbb változások:
- Az ssh és sshd támogatást kaptak a hibrid kulcscsere algoritmus számára, a "mlkem768x25519-sha256"-ra, amely ellenáll a kvantumszámítógépes támadásoknak, és az X25519 ECDH és az ML-KEM (CRYSTALS-Kyber), az Egyesült Államok Szabványügyi és Technológiai Intézete (NIST) által nemrégiben szabványosított algoritmus kombinációja. Az ML-KEM latens elméleti problémákra épülő kriptográfiai módszereket használ, akinek a megoldási ideje nem különbözik a hagyományos és kvantumos számítógépeken.
- A sshd_config konfigurációs fájlhoz hozzáadódott a "RefuseConnection" kulcsszó, amely beállítása esetén a sshd az első hitelesítési kísérlet után befejezi a kapcsolódást. A PerSourcePenalties direktívához hozzáadódott a "refuseconnection" osztály, amely a "RefuseConnection" aktiválása esetén kapcsolatbefejezésnél alkalmazandó.
- Az ssh kliensben megszűnt a hitelesítés előtti adat tömörítés támogatása, ami jelentősen megnöveli az SSH-szerverek támadási felületét, és kockázatot jelent a hitelesítés alatt elküldött információk közvetett elemzésére. A szerveren sshd-ben a hitelesítés előtti tömörítést korábban már letiltották.
- Az ssh és sshd esetében a "Match" direktíva argumentumainak értelmezése során shell-szerű szabályokat alkalmaztak, amelyek támogatják a beágyazott keretezést és a "\" karakteres escape-elést.
- Az ssh_config konfigurációs fájl "Include" direktívájában biztosított a környezeti változók és a "%"-helyettesítések támogatása, az 'Match Exec' direktívához hasonlóan.
- Az sshd_config fájlban a Match direktívához hozzáadódott az "invalid-user" opció, amely a helytelen felhasználónévvel való belépési kísérleten aktiválódik.
- Az ssh és sshd egy gyorsabb megvalósítást kaptak a "Streamlined NTRUPrime" algoritmushoz. A Streamlined NTRUPrime/X25519 hibrid kulcscsere algoritmushoz hozzáadódott a "sntrup761x25519-sha512" név használatának lehetősége, a SSH-specifikus "sntrup761x25519-sha512@openssh.com" név mellett.
- Az ssh, sshd és ssh-agent a zárjegyek core fájlokba való írását megakadályozó védelmet kapott, amely működik OpenBSD, Linux és FreeBSD alatt.
- A kulcsok kezelése az EVP_PKEY API használatára vált át, amelyet a libcrypto könyvtár biztosít.
- Az sshd-be véletlenszerűen 4 másodpercre módosították a kapcsolat időkorlátját (LoginGraceTime), hogy megnehezítsék az időkorlát lejáratának észlelését.
- Megoldva a Musl könyvtárral kapcsolatos fordítási problémák.
Forrás: opennet.ru
