OpenSSH 8.8-ის გამოშვება rsa-sha ციფრული ხელმოწერების მხარდაჭერის გამორთვით

გამოქვეყნდა OpenSSH 8.8-ის გამოშვება, კლიენტისა და სერვერის ღია იმპლემენტაცია SSH 2.0 და SFTP პროტოკოლების გამოყენებით მუშაობისთვის. გამოშვება შესამჩნევია იმით, რომ ნაგულისხმევად გამორთულია ციფრული ხელმოწერების გამოყენების შესაძლებლობა RSA კლავიშებზე დაფუძნებული SHA-1 ჰეშით („ssh-rsa“).

"ssh-rsa" ხელმოწერების მხარდაჭერის შეწყვეტა განპირობებულია მოცემული პრეფიქსით შეჯახების შეტევების გაზრდილი ეფექტურობით (შეჯახების არჩევის ღირებულება დაახლოებით 50 ათასი დოლარია). თქვენს სისტემებზე ssh-rsa-ს გამოყენების შესამოწმებლად, შეგიძლიათ სცადოთ დაკავშირება ssh-ის საშუალებით „-oHostKeyAlgorithms=-ssh-rsa“ ოფციით. RSA ხელმოწერების მხარდაჭერა SHA-256 და SHA-512 ჰეშებით (rsa-sha2-256/512), რომლებიც მხარდაჭერილია OpenSSH 7.2-დან, უცვლელი რჩება.

უმეტეს შემთხვევაში, „ssh-rsa“-ს მხარდაჭერის შეწყვეტა არ საჭიროებს მომხმარებლისგან რაიმე მექანიკურ მოქმედებებს, რადგან ადრე OpenSSH-ს ჰქონდა ნაგულისხმევად ჩართული UpdateHostKeys პარამეტრი, რომელიც ავტომატურად გადააქვს კლიენტებს უფრო საიმედო ალგორითმებზე. მიგრაციისთვის, პროტოკოლის გაფართოება "[ელ.ფოსტით დაცულია]", რომელიც საშუალებას აძლევს სერვერს, ავტორიზაციის შემდეგ, აცნობოს კლიენტს ყველა ხელმისაწვდომი ჰოსტის გასაღების შესახებ. კლიენტის მხრიდან OpenSSH-ის ძალიან ძველ ვერსიებთან ჰოსტებთან დაკავშირების შემთხვევაში, შეგიძლიათ შერჩევით დაუბრუნოთ "ssh-rsa" ხელმოწერების გამოყენების შესაძლებლობა ~/.ssh/config-ზე დამატებით: Host old_hostname HostkeyAlgorithms +ssh-rsa PubkeyAcceptedAlgorithms + სშ-რსა

ახალი ვერსია ასევე წყვეტს უსაფრთხოების პრობლემას, რომელიც გამოწვეულია sshd-ით, დაწყებული OpenSSH 6.2-ით, მომხმარებლის ჯგუფის არასწორად ინიციალიზაციისას ავტორიზებულიKeysCommand და AuthorizedPrincipalsCommand დირექტივებში მითითებული ბრძანებების შესრულებისას. ეს დირექტივები უნდა დაუშვან ბრძანებების გაშვება სხვა მომხმარებლის ქვეშ, მაგრამ სინამდვილეში მათ მემკვიდრეობით მიიღეს sshd-ის გაშვებისას გამოყენებული ჯგუფების სია. პოტენციურად, ამ ქცევამ, გარკვეული სისტემის პარამეტრების თანდასწრებით, გაშვებულ დამმუშავებელს საშუალება მისცა მიეღო დამატებითი პრივილეგიები სისტემაზე.

ახალი გამოშვების შენიშვნა ასევე შეიცავს გაფრთხილებას, რომ scp ნაგულისხმევი იქნება SFTP ნაცვლად ძველი SCP/RCP პროტოკოლისა. SFTP იყენებს სახელების დამუშავების უფრო პროგნოზირებად მეთოდებს და არ იყენებს გლობალური შაბლონების დამუშავებას ფაილების სახელებში მეორე ჰოსტის მხარეს, რაც ქმნის უსაფრთხოების პრობლემებს. კერძოდ, SCP და RCP-ის გამოყენებისას სერვერი წყვეტს რომელი ფაილები და დირექტორიები გაუგზავნოს კლიენტს და კლიენტი ამოწმებს მხოლოდ დაბრუნებული ობიექტების სახელების სისწორეს, რაც კლიენტის მხრიდან სათანადო შემოწმების არარსებობის შემთხვევაში საშუალებას იძლევა სერვერი სხვა ფაილების სახელების გადასატანად, რომლებიც განსხვავდება მოთხოვნილიდან. SFTP პროტოკოლს არ აქვს ეს პრობლემები, მაგრამ არ უჭერს მხარს სპეციალური ბილიკების გაფართოებას, როგორიცაა "~/". ამ განსხვავების მოსაგვარებლად, OpenSSH-ის წინა გამოშვებამ შემოიტანა ახალი SFTP პროტოკოლის გაფართოება ~/ და ~user/ ბილიკებზე SFTP სერვერის იმპლემენტაციაში.

წყარო: opennet.ru