Megjelent az OpenSSH 10.5 kiadása, amely egy nyílt forráskódú megoldás SSH 2.0 és SFTP protokollok használatára. Főbb változások:
- Az OpenSSH hordozható verziójának használatához mostantól szükség van az elliptikus görbék (ECC — Elliptic Curve Cryptography) alapú kriptográfia támogatására a libcrypto könyvtárban, beleértve a NISTP521 elliptikus görbe támogatását. A libcrypto implementációiban, mint például a LibreSSL, OpenSSL, BoringSSL és AWS LC, ez a támogatás alapértelmezés szerint engedélyezve van.
- Az ssh-keygen eszközben a FIDO tokenekhez tartozó titkos kulcsok jelszavának visszaállításakor megvalósították a touch-required és verify-required jelzők beállítását, amelyek a felhasználó megerősítését igénylik.
- Az ssh eszközben módosult a tanúsítványok alkalmazásának sorrendje a nyilvános kulcsos hitelesítés során — először a felhasználói beavatkozást nem igénylő FIDO-kulcsok kerülnek alkalmazásra, míg a PIN-kódot vagy biometrikai azonosítást kérő kulcsok a legutolsóként kerülnek figyelembevételre.
- Új parancs került hozzáadásra: „ssh -Z user”, amely a nyilvános kulcsos hitelesítés során használt kulcsokat mutatja be.
- Biztonsági problémák megszüntetése:
- Kijavították a hibás sessions kapcsolásának kezelését, amely egy SSH Agent blokkolásakor azt okozta, hogy ahelyett, hogy elutasította volna a hozzáférést, az SSH Agent lehetővé tette távoli műveletek végrehajtását, amelyeknek csak lokálisan kellett volna elérhetőnek lenniük, például PKCS#11 tokenek hozzáadását és a konkrét szerverekhez beállított kulcsok használatát.
- Az ssh kliensben megszüntették a memóriának a felszabadítása után történő potenciális hivatkozások kezelését (use-after-free), amely a SSH kapcsolatok egy socketen való multiplexelése során léphetett fel, amikor új port továbbítási igénylés történik, miközben a kliens még mindig válaszra vár. a szerver az előző port továbbítás megnyitására.
- Az sshd-ban a „restrict” zászlóval az authorized_keys fájlban megadott korlátozások pontos alkalmazása lett beállítva a továbbított alagúton.
Forrás: opennet.ru
