OpenSSH 9.5 шығарылымы, SSH 2.0 және SFTP хаттамалары арқылы жұмыс істеуге арналған клиент пен сервердің ашық іске асырылуы жарияланды.
Негізгі өзгерістер:
- Әдепкі бойынша, ssh-keygen Дэниел Бернштейн әзірлеген және RFC 8709 стандартында стандартталған Ed25519 сандық қолтаңбасы негізінде кілт генерациясына мүмкіндік береді. Ed25519 кілттері OpenSSH 6.5 (2014) нұсқасынан бері қолдау тауып келеді және олардың шағын өлшеміне байланысты ыңғайлырақ. Ed25519 цифрлық қолтаңбалары ECDSA және DSA-ға қарағанда қауіпсіздіктің жоғары деңгейін ұсынады және өте жоғары тексеру мен қолтаңбаны жасау жылдамдығын көрсетеді. Ed25519 үшін шабуылға төзімділік шамамен 2^128 (орта есеппен Ed25519-ға қарсы шабуыл 2^140 бит операцияларды қажет етеді), бұл кілт өлшемі 375 байт немесе 128 бит блок шифрі бар NIST P-256 және RSA сияқты алгоритмдердің күшіне сәйкес келеді. Ed25519 сонымен қатар хэш соқтығысуларына, кэш-уақыттық шабуылдарға және бүйірлік арна шабуылдарына қарсы иммунитетке ие.
- ssh утилитасы кірісті қайта құру үшін пернетақтадағы пернелерді басу арасындағы кідірістерді талдайтын бүйірлік арна шабуылдарынан қорғаумен жаңартылды. Бұл шабуылдар теру кезінде пернелерді басу арасындағы кідіріс пернетақтадағы пернелердің орналасуына байланысты болатынын пайдаланады (мысалы, «F» әрпін теру «Q» немесе «X» теруден жылдамырақ, себебі саусақ қозғалысы азырақ қажет). SSH бұл шабуылдарға сезімтал болды, себебі ол терілген таңба туралы ақпаратты әр пернені басқаннан кейін бірден бөлек пакетте жіберді, сондықтан пакетті жіберу арасындағы кідіріс пернелерді басу арасындағы кідірістермен корреляцияланды.
SSH трафигіндегі интерактивті енгізудің нюанстарын жасыру үшін деректер сіз терген кезде емес, тек бекітілген аралықтарда (әдепкі бойынша 20 мс) жіберіледі. Сонымен қатар, шабуылдаушыларды шатастыру үшін, нақты деректер жіберілгеннен кейін кездейсоқ уақыттарда жалған пернелер жіберіледі. Қорғауды конфигурациялау үшін ssh_config параметріне "ObscureKeystrokeTiming" параметрі қосылды.
- ssh және sshd "ping@openssh.com" SSH протоколының кеңейтімін қолдайды, ол пакеттерді жүйелі түрде жүйелі түрде жіберу үшін SSH2_MSG_PING және SSH2_MSG_PONG жаңа хабар түрлерін қосады. Бұл кеңейтім бүйірлік арна шабуылдарынан жоғарыда аталған қорғаныс үшін қажет.
- sshd Match блоктары арқылы Sybsystem директиваларын қайта анықтауға мүмкіндік береді.
- sshd ішінде Ішкі жүйе директивасы тырнақшаларды өңдеуді өзгертті, олар қазір пәрмендер мен аргументтер үшін сақталады, бұл өте сирек конфигурациялармен үйлесімділік мәселелеріне әкелуі мүмкін.
Ақпарат көзі: opennet.ru
