{"id":101069,"date":"2021-08-20T22:22:44","date_gmt":"2021-08-20T20:22:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-openssh-8-7"},"modified":"2021-08-20T22:22:44","modified_gmt":"2021-08-20T20:22:44","slug":"reliz-openssh-8-7","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/reliz-openssh-8-7","title":{"rendered":"Rilascio di OpenSSH 8.7","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Dopo quattro mesi di sviluppo, \u00e8 stata rilasciata la versione OpenSSH 8.7, un'implementazione open source di client e server per il funzionamento sui protocolli SSH 2.0 e SFTP. <\/p>\n
Variazioni principali: <\/p>\n
\n
\u00c8 stata aggiunta una modalit\u00e0 sperimentale per il trasferimento dei dati in scp utilizzando il protocollo SFTP anzich\u00e9 il tradizionale protocollo SCP\/RCP. SFTP utilizza metodi di gestione dei nomi pi\u00f9 prevedibili e non utilizza l'elaborazione dei glob tramite shell sul lato dell'altro host, creando problemi di sicurezza. Per abilitare SFTP in scp \u00e8 stato proposto il flag \u00ab-s\u00bb, ma in futuro \u00e8 previsto di passare a questo protocollo di default.\n
In sftp-server sono state implementate estensioni del protocollo SFTP per svelare i percorsi ~\/ e ~user\/, necessari per scp.\n
Comportamento della utility scp modificato durante la copia di file tra due host remoti (ad esempio, \u00abscp host-a:\/path host-b:\u00bb), che ora viene eseguita di default attraverso un host locale intermedio, come quando si specifica il flag \u00ab-3\u00bb. Questo approccio consente di evitare la trasmissione di credenziali non necessarie sul primo host e la tripla interpretazione dei nomi dei file nella shell (lato sorgente, ricevitore e sistema locale) e, utilizzando SFTP, consente di usare tutti i metodi di autenticazione per rivolgersi agli host remoti, e non solo i metodi non interattivi. \u00c8 stata aggiunta l'opzione \u00ab-R\u00bb per ripristinare il comportamento precedente.\n
In ssh \u00e8 stata aggiunta l'impostazione ForkAfterAuthentication, corrispondente al flag \u00ab-f\u00bb.\n
In ssh \u00e8 stata aggiunta l'impostazione StdinNull, corrispondente al flag \u00ab-n\u00bb.\n
In ssh \u00e8 stata aggiunta l'impostazione SessionType, tramite la quale \u00e8 possibile impostare le modalit\u00e0 corrispondenti ai flag \u00ab-N\u00bb (senza sessione) e \u00ab-s\u00bb (subsystem).\n
In ssh-keygen \u00e8 consentito specificare l'intervallo di validit\u00e0 delle chiavi nei file contenenti le chiavi.\n
In ssh-keygen \u00e8 stato aggiunto il flag \u00ab-Oprint-pubkey\u00bb per l'output della chiave pubblica completa all'interno della firma sshsig.\n
In ssh e sshd, sia il client che il server, sono stati trasferiti all'uso di un parser pi\u00f9 rigoroso per il file di configurazione, nel quale vengono utilizzate regole simili a shell per l'elaborazione di virgolette, spazi e caratteri di escape. Il nuovo parser non ignora nemmeno le precedenti assunzioni, come il salto degli argomenti nelle opzioni (ad esempio, ora non \u00e8 pi\u00f9 possibile lasciare vuota la direttiva DenyUsers), virgolette non chiuse e l'indicazione di pi\u00f9 simboli \u00ab=\u00bb.\n
Utilizzando i record DNS SSHFP per la verifica delle chiavi, ssh ora controlla tutti i record corrispondenti, non solo quelli contenenti un determinato tipo di firma digitale.\n
In ssh-keygen, durante la generazione di una chiave FIDO con l'opzione -Ochallenge per l'hashing, viene ora utilizzato uno strato interno invece degli strumenti libfido2, permettendo l'uso di sequenze di challenge di dimensioni maggiori o minori di 32 byte.\n
In sshd, durante la gestione della direttiva environment=\u00ab\u2026\u00bb nei file authorized_keys, ora viene accettata la prima corrispondenza e viene applicata una limitazione di 1024 nomi di variabili d'ambiente. <\/ul>\n
Gli sviluppatori di OpenSSH hanno inoltre avvertito della transizione degli algoritmi obsoleti che utilizzano hash SHA-1, a causa dell'aumento dell'efficacia degli attacchi collisionari con prefissi specifici (il costo per generare una collisione \u00e8 stimato intorno ai 50mila dollari). Nella prossima release, sar\u00e0 disabilitato di default l'uso dell'algoritmo di firma digitale con chiave pubblica \u00abssh-rsa\u00bb, citato nel RFC originale per il protocollo SSH e rimasto ampiamente diffuso nella pratica. <\/p>\n
Per verificare l'uso di ssh-rsa nei propri sistemi, \u00e8 possibile provare a connettersi via ssh con l'opzione \u00ab-oHostKeyAlgorithms=-ssh-rsa\u00bb. Tuttavia, la disabilitazione predefinita delle firme digitali \u00abssh-rsa\u00bb non implica un completo abbandono dell'uso delle chiavi RSA, poich\u00e9, oltre a SHA-1, il protocollo SSH consente l'uso di altri algoritmi di hashing. In particolare, oltre a \u00abssh-rsa\u00bb, sar\u00e0 possibile utilizzare le coppie \u00abrsa-sha2-256\u00bb (RSA\/SHA256) e \u00abrsa-sha2-512\u00bb (RSA\/SHA512). <\/p>\n