ការចេញផ្សាយ OpenSSH 8.8 ជាមួយនឹងការបិទការគាំទ្រសម្រាប់ហត្ថលេខាឌីជីថល rsa-sha

ការចេញផ្សាយ OpenSSH 8.8 ត្រូវបានបោះពុម្ព ដែលជាការអនុវត្តបើកចំហរបស់ម៉ាស៊ីនភ្ញៀវ និងម៉ាស៊ីនមេសម្រាប់ធ្វើការដោយប្រើពិធីការ SSH 2.0 និង SFTP ។ ការចេញផ្សាយនេះគឺគួរឱ្យកត់សម្គាល់សម្រាប់ការបិទតាមលំនាំដើម សមត្ថភាពក្នុងការប្រើហត្ថលេខាឌីជីថលដោយផ្អែកលើគ្រាប់ចុច RSA ជាមួយនឹងសញ្ញា SHA-1 ("ssh-rsa") ។

ការបញ្ឈប់ការគាំទ្រសម្រាប់ហត្ថលេខា "ssh-rsa" គឺដោយសារតែការបង្កើនប្រសិទ្ធភាពនៃការវាយប្រហារដោយការប៉ះទង្គិចជាមួយនឹងបុព្វបទដែលបានផ្តល់ឱ្យ (តម្លៃនៃការជ្រើសរើសការប៉ះទង្គិចគ្នាត្រូវបានប៉ាន់ស្មានប្រហែល 50 ពាន់ដុល្លារ) ។ ដើម្បីសាកល្បងការប្រើប្រាស់ ssh-rsa នៅលើប្រព័ន្ធរបស់អ្នក អ្នកអាចសាកល្បងភ្ជាប់តាមរយៈ ssh ជាមួយនឹងជម្រើស “-oHostKeyAlgorithms=-ssh-rsa”។ ការគាំទ្រសម្រាប់ហត្ថលេខា RSA ជាមួយនឹងសញ្ញា SHA-256 និង SHA-512 (rsa-sha2-256/512) ដែលត្រូវបានគាំទ្រចាប់តាំងពី OpenSSH 7.2 នៅតែមិនផ្លាស់ប្តូរ។

ក្នុងករណីភាគច្រើន ការបញ្ឈប់ការគាំទ្រសម្រាប់ “ssh-rsa” នឹងមិនតម្រូវឱ្យមានសកម្មភាពដោយដៃណាមួយពីអ្នកប្រើប្រាស់នោះទេ ព្រោះថាពីមុន OpenSSH មានការកំណត់ UpdateHostKeys ត្រូវបានបើកតាមលំនាំដើម ដែលផ្ទេរអតិថិជនដោយស្វ័យប្រវត្តិទៅកាន់ក្បួនដោះស្រាយដែលអាចទុកចិត្តបានជាងមុន។ សម្រាប់​ការ​ធ្វើ​ចំណាកស្រុក ការ​បន្ថែម​ពិធីការ “[អ៊ីមែលការពារ]", អនុញ្ញាតឱ្យម៉ាស៊ីនមេ, បន្ទាប់ពីការផ្ទៀងផ្ទាត់, ជូនដំណឹងដល់អតិថិជនអំពីសោម៉ាស៊ីនដែលមានទាំងអស់។ ក្នុងករណីដែលភ្ជាប់ទៅម៉ាស៊ីនដែលមានកំណែចាស់នៃ OpenSSH នៅខាងអតិថិជន អ្នកអាចជ្រើសរើសឡើងវិញនូវលទ្ធភាពប្រើប្រាស់ហត្ថលេខា "ssh-rsa" ដោយបន្ថែមទៅ ~/.ssh/config: Host old_hostname HostkeyAlgorithms +ssh-rsa PubkeyAcceptedAlgorithms + ssh-rsa

កំណែថ្មីក៏ដោះស្រាយបញ្ហាសុវត្ថិភាពដែលបង្កឡើងដោយ sshd ដោយចាប់ផ្តើមជាមួយ OpenSSH 6.2 ដោយមិនបានចាប់ផ្តើមក្រុមអ្នកប្រើប្រាស់ឱ្យបានត្រឹមត្រូវនៅពេលប្រតិបត្តិពាក្យបញ្ជាដែលបានបញ្ជាក់នៅក្នុងការណែនាំ AuthorizedKeysCommand និង AuthorizedPrincipalsCommand ។ ការណែនាំទាំងនេះត្រូវបានគេសន្មត់ថាអនុញ្ញាតឱ្យបញ្ជាឱ្យដំណើរការនៅក្រោមអ្នកប្រើប្រាស់ផ្សេង ប៉ុន្តែតាមពិតពួកគេបានទទួលមរតកនូវបញ្ជីក្រុមដែលប្រើនៅពេលដំណើរការ sshd ។ សក្តានុពល ឥរិយាបទនេះនៅក្នុងវត្តមាននៃការកំណត់ប្រព័ន្ធជាក់លាក់បានអនុញ្ញាតឱ្យឧបករណ៍ដោះស្រាយដែលបានបើកដំណើរការដើម្បីទទួលបានសិទ្ធិបន្ថែមនៅលើប្រព័ន្ធ។

កំណត់សម្គាល់ការចេញផ្សាយថ្មីក៏រួមបញ្ចូលការព្រមានថា scp នឹងកំណត់លំនាំដើមទៅ SFTP ជំនួសឱ្យពិធីការ SCP/RCP ចាស់។ SFTP ប្រើវិធីសាស្ត្រគ្រប់គ្រងឈ្មោះដែលអាចព្យាករណ៍បានច្រើនជាងមុន និងមិនប្រើដំណើរការសែលនៃគំរូ glob នៅក្នុងឈ្មោះឯកសារនៅផ្នែកម្ខាងទៀតរបស់ host ដែលបង្កើតបញ្ហាសុវត្ថិភាព។ ជាពិសេស នៅពេលប្រើ SCP និង RCP នោះម៉ាស៊ីនមេនឹងសម្រេចថាតើឯកសារ និងថតឯកសារណាដែលត្រូវផ្ញើទៅកាន់អតិថិជន ហើយម៉ាស៊ីនភ្ញៀវពិនិត្យតែភាពត្រឹមត្រូវនៃឈ្មោះវត្ថុដែលបានប្រគល់មកវិញ ដែលក្នុងករណីដែលគ្មានការត្រួតពិនិត្យត្រឹមត្រូវនៅខាងអតិថិជន អនុញ្ញាតឱ្យ server ដើម្បីផ្ទេរឈ្មោះឯកសារផ្សេងទៀតដែលខុសពីឯកសារដែលបានស្នើ។ ពិធីការ SFTP មិនមានបញ្ហាទាំងនេះទេ ប៉ុន្តែមិនគាំទ្រការពង្រីកផ្លូវពិសេសដូចជា “~/” ទេ។ ដើម្បីដោះស្រាយភាពខុសគ្នានេះ ផ្នែកបន្ថែមថ្មីចំពោះពិធីការ SFTP ត្រូវបានស្នើឡើងនៅក្នុងការចេញផ្សាយមុនរបស់ OpenSSH ក្នុងការអនុវត្តម៉ាស៊ីនមេ SFTP ដើម្បីពង្រីកផ្លូវ ~/ និង ~user/ ។

ប្រភព: opennet.ru