È stata rilasciata la versione 9.0 di OpenSSH, un'implementazione open source del client e server per lavorare con i protocolli SSH 2.0 e SFTP. Nella nuova versione, lo strumento scp è stato impostato per utilizzare SFTP di default invece del protocollo obsoleto SCP/RCP.
In SFTP vengono utilizzati metodi di gestione dei nomi più prevedibili e non si utilizza l'elaborazione di modelli glob nei nomi dei file tramite shell su un altro host, il che crea problemi di sicurezza. In particolare, quando si utilizza SCP e RCP, il server decide quali file e directory inviare al client, e il client verifica solo la correttezza dei nomi degli oggetti restituiti, il che, in assenza di adeguati controlli sul lato client, consente server di trasmettere altri nomi di file diversi da quelli richiesti.
Il protocollo SFTP è privo di questi problemi, ma non supporta la risoluzione di percorsi speciali, come «~/». Per risolvere questa differenza, a partire da OpenSSH 8.7, nell’implementazione del server SFTP è stato supportato l'estensione del protocollo «expand-path@openssh.com» per la risoluzione dei percorsi ~/ e ~user/.
Utilizzando SFTP, gli utenti possono anche incontrare incompatibilità causate dalla necessità di un doppio escaping dei caratteri speciali nella risoluzione dei percorsi nelle richieste SCP e RCP, per evitare che vengano interpretati dal lato remoto. In SFTP questo escaping non è necessario e le virgolette in eccesso possono portare a errori di trasferimento. I sviluppatori di OpenSSH hanno deciso di non aggiungere un'estensione per riprodurre il comportamento di scp in questo caso, poiché il doppio escaping è considerato un difetto che non ha senso ripetere.
Altre modifiche nella nuova versione:
- In ssh e sshd è ora abilitato per default l'algoritmo ibrido di scambio chiavi «sntrup761x25519-sha512@openssh.com» (ECDH/x25519 + NTRU Prime), che è resistente agli attacchi di forza bruta sui computer quantistici e combinato con ECDH/x25519 per bloccare eventuali problemi futuri in NTRU Prime. Nell'elenco KexAlgorithms, che definisce l'ordine di selezione dei metodi di scambio chiavi, l'algoritmo menzionato è ora al primo posto ed è più prioritario rispetto agli algoritmi ECDH e DH.
I computer quantistici non hanno ancora raggiunto un livello tale da consentire di violare le chiavi tradizionali, ma l'implementazione di una protezione ibrida permetterà di proteggere gli utenti da attacchi che sfruttano sessioni SSH intercettate, nel calcolo che possano essere decifrate in futuro, quando saranno disponibili i necessari computer quantistici.
- Nella sftp-server è stata aggiunta l'estensione "copy-data", che consente di copiare dati sul lato server, senza invio transitorio al cliente, se il file sorgente e quello di destinazione si trovano sullo stesso server.
- Nell'utilità sftp è stato aggiunto il comando "cp" per avviare la copia dei file sul lato server da parte del cliente.
Fonte: opennet.ru
