È stata pubblicata la versione OpenSSH 10.5, un'implementazione open source di client e server per funzionare con i protocolli SSH 2.0 e SFTP. Le principali novità:
- Per la versione portatile di OpenSSH, ora è necessaria la supporto della crittografia basata su curve ellittiche (ECC — Elliptic Curve Cryptography) nella libreria libcrypto, compreso il supporto per la curva ellittica NISTP521. Questa supporto è incluso di default nelle implementazioni di libcrypto dei progetti LibreSSL, OpenSSL, BoringSSL e AWS LC.
- Nell'utilità ssh-keygen, durante il ripristino della password per le chiavi private per i token FIDO, è stata implementata l'impostazione dei flag touch-required e verify-required, che richiedono la conferma da parte dell'utente.
- Nell'utilità ssh, è stato modificato l'ordine di utilizzo dei certificati durante l'autenticazione con chiavi pubbliche: ora si utilizzano prima le chiavi FIDO che non richiedono azioni da parte dell'utente, mentre in ultima istanza si utilizzano le chiavi che richiedono la verifica tramite PIN o biometria.
- È stato aggiunto il comando "ssh -Z user", che mostra le chiavi nell'ordine in cui vengono utilizzate per l'autenticazione con chiavi pubbliche.
- Sono stati risolti problemi di sicurezza:
- È stata corretta l'errata gestione delle richieste di binding delle sessioni durante il blocco dell'SSH Agent, che portava a una situazione in cui, invece di negare l'accesso, l'SSH Agent permetteva di eseguire operazioni da remoto che dovevano essere disponibili solo localmente, come l'aggiunta di token PKCS#11 e l'uso di chiavi legate a specifici server.
- Nel client ssh è stata rimossa una potenziale dereferenziazione della memoria dopo il suo rilascio (use-after-free), che si manifesta durante il multiplexing delle connessioni SSH attraverso un unico socket quando viene aggiunta una nuova mappatura di porte mentre il client è ancora in attesa di server una risposta sull'apertura della mappatura precedente.
- Nello sshd è stato ripristinato un corretto applicazione dei vincoli definiti tramite il flag "restrict" nel file authorized_keys per i tunnel reindirizzati.
Fonte: opennet.ru
