שחרור של OpenSSH 9.0 עם העברה של scp לפרוטוקול SFTP

הוצגה המהדורה של OpenSSH 9.0, מימוש פתוח של לקוח ושרת לעבודה באמצעות פרוטוקולי SSH 2.0 ו-SFTP. בגרסה החדשה, תוכנית השירות scp התחלפה כברירת מחדל לשימוש ב-SFTP במקום בפרוטוקול SCP/RCP המיושן.

SFTP משתמש בשיטות טיפול שמות צפויות יותר ואינו משתמש בעיבוד מעטפת של דפוסי גלוב בשמות קבצים בצד המארח השני, מה שיוצר בעיות אבטחה. בפרט, בעת שימוש ב-SCP ו-RCP, השרת מחליט אילו קבצים וספריות לשלוח ללקוח, והלקוח בודק רק את נכונות שמות האובייקטים המוחזרים, מה שבהיעדר בדיקות מתאימות בצד הלקוח, מאפשר את שרת כדי להעביר שמות קבצים אחרים השונים מאלה המבוקשים.

Протокол SFTP лишён указанных проблем, но не поддерживает раскрытие спецпутей, таких как «~/». Для устранения данного различия начиная с OpenSSH 8.7 в реализации SFTP-сервера поддерживается расширение протокола «[מוגן בדוא"ל]" כדי להרחיב את הנתיבים ~/ ו~user/.

בעת שימוש ב-SFTP, המשתמשים עלולים להיתקל גם באי-תאימות שנגרמו מהצורך לבצע בריחה כפולה של תווי הרחבת נתיב מיוחדים בבקשות SCP ו-RCP כדי למנוע את פרשנותם על ידי הצד המרוחק. ב-SFTP, בריחה כזו אינה נדרשת והצעות מחיר נוספות יכולות להוביל לשגיאה בהעברת נתונים. יחד עם זאת, מפתחי OpenSSH סירבו להוסיף הרחבה כדי לשכפל את ההתנהגות של scp במקרה זה, כך שהבריחה כפולה נחשבת לפגם שלא הגיוני לחזור עליו.

שינויים נוספים במהדורה החדשה:

• ל-Ssh ו-sshd יש אלגוריתם החלפת מפתח היברידי מופעל כברירת מחדל "[מוגן בדוא"ל]"(ECDH/x25519 + NTRU Prime), עמיד בפני איסוף במחשבים קוונטיים ובשילוב עם ECDH/x25519 כדי לחסום בעיות אפשריות ב-NTRU Prime שעלולות להתעורר בעתיד. ברשימת KexAlgorithms, הקובעת את הסדר שבו נבחרות שיטות החלפת מפתחות, האלגוריתם המוזכר כעת ממוקם במקום הראשון ובעל עדיפות גבוהה יותר מאלגוריתמים של ECDH ו-DH.

  מחשבי קוונטים עדיין לא הגיעו לרמה של פיצוח מפתחות מסורתיים, אך שימוש באבטחה היברידית יגן על המשתמשים מפני התקפות הכרוכות באחסון מפגשי SSH מיירטים בתקווה שניתן יהיה לפענח אותם בעתיד כאשר המחשבים הקוונטים הדרושים יהיו זמינים.

• התוסף "copy-data" ל-sftp-server, המאפשר להעתיק נתונים בצד השרת, מבלי להעביר אותם ללקוח, אם קבצי המקור והיעד נמצאים באותו שרת.
• הפקודה "cp" נוספה לכלי השירות sftp כדי ליזום את הלקוח להעתיק קבצים בצד השרת.

מקור: OpenNet.ru