OpenSSH 8.0-ის გამოშვება

განვითარების ხუთი თვის შემდეგ წარმოდგენილია релиз OpenSSH 8.0, ღია კლიენტისა და სერვერის დანერგვა SSH 2.0 და SFTP პროტოკოლებით მუშაობისთვის.

ძირითადი ცვლილებები:

• ssh და sshd-ს დაემატა გასაღების გაცვლის მეთოდის ექსპერიმენტული მხარდაჭერა, რომელიც მდგრადია კვანტურ კომპიუტერზე უხეში ძალის შეტევების მიმართ. კვანტური კომპიუტერები რადიკალურად უფრო სწრაფად წყვეტენ ბუნებრივი რიცხვის მარტივ ფაქტორებად დაშლის პრობლემას, რაც საფუძვლად უდევს თანამედროვე ასიმეტრიული დაშიფვრის ალგორითმებს და არ შეიძლება ეფექტურად გადაწყდეს კლასიკურ პროცესორებზე. შემოთავაზებული მეთოდი ეფუძნება ალგორითმს NTRU Prime (ფუნქცია ntrup4591761), შემუშავებული პოსტკვანტური კრიპტოსისტემებისთვის და ელიფსური მრუდის გასაღების გაცვლის მეთოდი X25519;
• sshd-ში, ListenAddress და PermitOpen დირექტივები აღარ უჭერს მხარს მოძველებულ „ჰოსტი/პორტის“ სინტაქსს, რომელიც განხორციელდა 2001 წელს, როგორც „host:port“-ის ალტერნატივა IPv6-თან მუშაობის გასამარტივებლად. თანამედროვე პირობებში IPv6-ისთვის დამკვიდრებულია სინტაქსი „[::1]:22“ და „ჰოსტი/პორტი“ ხშირად აირია ქვექსელის (CIDR) მითითებით;
• ssh, ssh-agent და ssh-add now მხარდაჭერა გასაღებები ECDSA PKCS#11 ჟეტონებში;
• ssh-keygen-ში ნაგულისხმევი RSA გასაღების ზომა გაიზარდა 3072 ბიტამდე, ახალი NIST რეკომენდაციების შესაბამისად;
• ssh საშუალებას იძლევა გამოიყენოს "PKCS11Provider=none" პარამეტრი ssh_config-ში მითითებული PKCS11Provider დირექტივის უგულებელყოფისთვის;
• sshd უზრუნველყოფს სიტუაციების ჟურნალის ჩვენებას, როდესაც კავშირი წყდება, როდესაც ცდილობთ შეასრულოთ ბრძანებები, რომლებიც დაბლოკილია „ForceCommand=internal-sftp“ შეზღუდვით sshd_config-ში;
• ssh-ში ახალი ჰოსტის გასაღების მიღების დადასტურების მოთხოვნის ჩვენებისას, „დიახ“ პასუხის ნაცვლად, ახლა მიიღება გასაღების სწორი თითის ანაბეჭდი (დაკავშირების დადასტურების მოწვევის საპასუხოდ, მომხმარებელს შეუძლია დააკოპიროს ცალკე მიღებული საცნობარო ჰეში ბუფერში, რათა ხელით არ შევადაროთ იგი);
• ssh-keygen უზრუნველყოფს სერთიფიკატის თანმიმდევრული ნომრის ავტომატურ გაზრდას ბრძანების სტრიქონზე მრავალი სერთიფიკატის ციფრული ხელმოწერის შექმნისას;
• ახალი ვარიანტი "-J" დაემატა scp-სა და sftp-ს, რომელიც ექვივალენტურია ProxyJump პარამეტრს;
• ssh-agent-ში, ssh-pkcs11-helper-ში და ssh-add-ში, დამატებულია "-v" ბრძანების ხაზის დამუშავება გამომავალი ინფორმაციის შინაარსის გაზრდის მიზნით (როდესაც მითითებულია, ეს ოფცია გადაეცემა შვილობილ პროცესებს, მაგალითად, როდესაც ssh-pkcs11-helper გამოიძახება ssh-agent-დან);
• „-T“ ოფცია დაემატა ssh-add-ს ssh-agent-ში გასაღებების ვარგისიანობის შესამოწმებლად ციფრული ხელმოწერის შექმნისა და გადამოწმების ოპერაციების შესასრულებლად;
• sftp-სერვერი ახორციელებს პროტოკოლის „lsetstat at openssh.com“ გაფართოების მხარდაჭერას, რომელიც ამატებს SSH2_FXP_SETSTAT ოპერაციების მხარდაჭერას SFTP-სთვის, მაგრამ სიმბოლური ბმულების გარეშე;
• დაემატა "-h" ოფცია sftp-ს chown/chgrp/chmod ბრძანებების გასაშვებად მოთხოვნებით, რომლებიც არ იყენებენ სიმბოლურ ბმულებს;
• sshd უზრუნველყოფს $SSH_CONNECTION გარემოს ცვლადის დაყენებას PAM-ისთვის;
• sshd-სთვის, ssh_config-ს დაემატა „Match final“ შესატყვისი რეჟიმი, რომელიც მსგავსია „Match canonical“, მაგრამ არ საჭიროებს ჰოსტის სახელის ნორმალიზების ჩართვას;
• დაემატა მხარდაჭერა sftp-ს '@' პრეფიქსისთვის, რათა გამორთოთ ბრძანებების თარგმნა, რომლებიც შესრულებულია ჯგუფურ რეჟიმში;
• როდესაც თქვენ აჩვენებთ სერთიფიკატის შინაარსს ბრძანების გამოყენებით
  "ssh-keygen -Lf /path/certificate" ახლა აჩვენებს ალგორითმს, რომელსაც იყენებს CA სერტიფიკატის დასადასტურებლად;

• გაუმჯობესებული მხარდაჭერა Cygwin-ის გარემოსთვის, მაგალითად, ჯგუფის და მომხმარებლის სახელების შედარების უზრუნველყოფა. sshd პროცესი Cygwin პორტში შეიცვალა cygsshd-ით Microsoft-ის მიერ მიწოდებულ OpenSSH პორტში ჩარევის თავიდან ასაცილებლად;
• დამატებულია ექსპერიმენტული OpenSSL 3.x ფილიალთან აგების შესაძლებლობა;
• აღმოფხვრილი დაუცველობა (CVE-2019-6111) scp უტილიტის განხორციელებაში, რომელიც საშუალებას აძლევს სამიზნე დირექტორიაში არსებული თვითნებური ფაილების გადაწერას კლიენტის მხარეს სერვერზე წვდომისას, რომელსაც აკონტროლებს თავდამსხმელი. პრობლემა ის არის, რომ scp-ის გამოყენებისას სერვერი წყვეტს რომელი ფაილები და დირექტორიები გაუგზავნოს კლიენტს და კლიენტი ამოწმებს მხოლოდ დაბრუნებული ობიექტების სახელების სისწორეს. კლიენტის მხრიდან შემოწმება შემოიფარგლება მხოლოდ მიმდინარე დირექტორიას (../“) მიღმა მოგზაურობის დაბლოკვით, მაგრამ არ ითვალისწინებს ფაილების გადაცემას თავდაპირველად მოთხოვნილისაგან განსხვავებული სახელებით. რეკურსიული კოპირების შემთხვევაში (-r), გარდა ფაილის სახელებისა, თქვენ ასევე შეგიძლიათ მანიპულირება ქვედირექტორიების სახელებით ანალოგიურად. მაგალითად, თუ მომხმარებელი დააკოპირებს ფაილებს მთავარ დირექტორიაში, სერვერს, რომელსაც აკონტროლებს თავდამსხმელი, შეუძლია შექმნას ფაილები სახელებით .bash_aliases ან .ssh/authorized_keys მოთხოვნილი ფაილების ნაცვლად და ისინი შეინახება scp უტილიტაში მომხმარებლის პროგრამაში. სახლის დირექტორია.

  ახალ გამოშვებაში, scp პროგრამა განახლდა, ​​რათა შეამოწმოს შესაბამისობა ფაილების სახელებსა და სერვერის მიერ გაგზავნილს შორის, რომელიც შესრულებულია კლიენტის მხარეს. ამან შეიძლება გამოიწვიოს პრობლემები ნიღბის დამუშავებასთან დაკავშირებით, რადგან ნიღბის გაფართოების სიმბოლოები შეიძლება განსხვავებულად დამუშავდეს სერვერისა და კლიენტის მხარეს. იმ შემთხვევაში, თუ ასეთი განსხვავებები იწვევს კლიენტს შეწყვეტს ფაილების მიღებას scp-ში, "-T" ოფცია დაემატა კლიენტის მხრიდან შემოწმების გამორთვას. პრობლემის სრულად გამოსასწორებლად საჭიროა scp პროტოკოლის კონცეპტუალური გადამუშავება, რომელიც თავისთავად უკვე მოძველებულია, ამიტომ რეკომენდებულია უფრო თანამედროვე პროტოკოლების გამოყენება, როგორიცაა sftp და rsync.

წყარო: opennet.ru