OpenSSH 8.9-ის გამოშვება sshd-ში დაუცველობის აღმოფხვრით

ექვსთვიანი განვითარების შემდეგ, წარმოდგენილი იქნა OpenSSH 8.9-ის გამოშვება, ღია კლიენტისა და სერვერის დანერგვა SSH 2.0 და SFTP პროტოკოლებზე მუშაობისთვის. sshd-ის ახალი ვერსია აფიქსირებს დაუცველობას, რომელიც პოტენციურად დაუშვებს არაავთენტიფიცირებულ წვდომას. პრობლემა გამოწვეულია ავთენტიფიკაციის კოდში მთელი რიცხვის გადაჭარბებით, მაგრამ მისი გამოყენება შესაძლებელია მხოლოდ კოდის სხვა ლოგიკურ შეცდომებთან ერთად.

მისი ამჟამინდელი ფორმით, დაუცველობის გამოყენება შეუძლებელია, როდესაც ჩართულია პრივილეგიების განცალკევების რეჟიმი, რადგან მისი მანიფესტაცია დაბლოკილია ცალკეული შემოწმებებით, რომლებიც შესრულებულია პრივილეგიების განცალკევების თვალთვალის კოდში. პრივილეგიების განცალკევების რეჟიმი ნაგულისხმევად ჩართულია 2002 წლიდან OpenSSH 3.2.2-დან და სავალდებულოა 7.5 წელს გამოქვეყნებული OpenSSH 2017-ის გამოსვლის შემდეგ. გარდა ამისა, OpenSSH-ის პორტატული ვერსიებში, დაწყებული გამოშვებით 6.5 (2014), დაუცველობა იბლოკება კომპილაციის საშუალებით, მთელი რიცხვის გადადინების დაცვის დროშებით.

სხვა ცვლილებები:

• OpenSSH-ის პორტატულმა ვერსიამ sshd-ში გააუქმა MD5 ალგორითმის გამოყენებით პაროლების ჰეშირების ძირითადი მხარდაჭერა (დაბრუნების საშუალებას იძლევა გარე ბიბლიოთეკებთან, როგორიცაა libxcrypt).
• ssh, sshd, ssh-add და ssh-agent ახორციელებენ ქვესისტემას, რათა შეზღუდონ ssh-agent-ზე დამატებული გასაღებების გადამისამართება და გამოყენება. ქვესისტემა საშუალებას გაძლევთ დააყენოთ წესები, რომლებიც განსაზღვრავენ, თუ როგორ და სად შეიძლება კლავიშების გამოყენება ssh-agent-ში. მაგალითად, გასაღების დასამატებლად, რომელიც შეიძლება გამოყენებულ იქნას მხოლოდ ჰოსტზე scylla.example.org დაკავშირებული ნებისმიერი მომხმარებლის ავთენტიფიკაციისთვის, მომხმარებელი perseus მასპინძელ cetus.example.org-ზე და მომხმარებელი medea ჰოსტზე charybdis.example.org. შუალედური ჰოსტის scylla.example.org გადამისამართებით შეგიძლიათ გამოიყენოთ შემდეგი ბრძანება: $ ssh-add -h "[ელ.ფოსტით დაცულია]» \ -h «scylla.example.org» \ -h «scylla.example.org>[ელ.ფოსტით დაცულია]» \ ~/.ssh/id_ed25519
• ssh-ში და sshd-ში, KexAlgorithms სიას ნაგულისხმევად დაემატა ჰიბრიდული ალგორითმი, რომელიც განსაზღვრავს გასაღების გაცვლის მეთოდების არჩევის თანმიმდევრობას.[ელ.ფოსტით დაცულია]"(ECDH/x25519 + NTRU Prime), მდგრადია კვანტურ კომპიუტერებზე შერჩევის მიმართ. OpenSSH 8.9-ში ეს მოლაპარაკების მეთოდი დაემატა ECDH და DH მეთოდებს შორის, მაგრამ დაგეგმილია მისი ჩართვა ნაგულისხმევად შემდეგ გამოშვებაში.
• ssh-keygen-მა, ssh-მა და ssh-agent-მა გააუმჯობესეს FIDO ტოკენის გასაღებები, რომლებიც გამოიყენება მოწყობილობის გადამოწმებისთვის, მათ შორის ბიომეტრიული ავთენტიფიკაციის გასაღებები.
• ssh-keygen-ს დაემატა "ssh-keygen -Y match-principals" ბრძანება, რათა შეამოწმოს მომხმარებლის სახელები დაშვებულ სახელების სიაში.
• ssh-add და ssh-agent იძლევა შესაძლებლობას დაამატოთ PIN კოდით დაცული FIDO გასაღებები ssh-agent-ში (PIN მოთხოვნა ნაჩვენებია ავტორიზაციის დროს).
• ssh-keygen საშუალებას გაძლევთ აირჩიოთ ჰეშირების ალგორითმი (sha512 ან sha256) ხელმოწერის გენერირების დროს.
• ssh-ში და sshd-ში, მუშაობის გასაუმჯობესებლად, ქსელის მონაცემები იკითხება უშუალოდ შემომავალი პაკეტების ბუფერში, გვერდის ავლით შუალედური ბუფერის დასტაზე. მიღებული მონაცემების პირდაპირი განთავსება არხის ბუფერში ხორციელდება ანალოგიურად.
• ssh-ში, PubkeyAuthentication-ის დირექტივამ გააფართოვა მხარდაჭერილი პარამეტრების სია (დიახ|არა|უკავშირებელი|ჰოსტ-შეკრული), რათა უზრუნველყოს გამოსაყენებელი პროტოკოლის გაფართოების არჩევის შესაძლებლობა.

მომავალ გამოშვებაში ჩვენ ვგეგმავთ შეცვალოთ scp უტილიტის ნაგულისხმევი ფუნქცია SFTP-ის გამოსაყენებლად ძველი SCP/RCP პროტოკოლის ნაცვლად. SFTP იყენებს სახელების დამუშავების უფრო პროგნოზირებად მეთოდებს და არ იყენებს გლობალური შაბლონების დამუშავებას ფაილების სახელებში მეორე ჰოსტის მხარეს, რაც ქმნის უსაფრთხოების პრობლემებს. კერძოდ, SCP და RCP-ის გამოყენებისას სერვერი წყვეტს რომელი ფაილები და დირექტორიები გაუგზავნოს კლიენტს და კლიენტი ამოწმებს მხოლოდ დაბრუნებული ობიექტების სახელების სისწორეს, რაც კლიენტის მხრიდან სათანადო შემოწმების არარსებობის შემთხვევაში საშუალებას იძლევა სერვერი სხვა ფაილების სახელების გადასატანად, რომლებიც განსხვავდება მოთხოვნილიდან. SFTP პროტოკოლს არ აქვს ეს პრობლემები, მაგრამ არ უჭერს მხარს სპეციალური ბილიკების გაფართოებას, როგორიცაა "~/". ამ განსხვავების მოსაგვარებლად, OpenSSH-ის წინა გამოშვებამ შემოიტანა ახალი SFTP პროტოკოლის გაფართოება ~/ და ~user/ ბილიკებზე SFTP სერვერის იმპლემენტაციაში.

წყარო: opennet.ru