ការចេញផ្សាយ OpenSSH 8.9 ជាមួយនឹងការលុបបំបាត់ភាពងាយរងគ្រោះនៅក្នុង sshd

បន្ទាប់ពីរយៈពេលប្រាំមួយខែនៃការអភិវឌ្ឍន៍ ការចេញផ្សាយ OpenSSH 8.9 ដែលជាម៉ាស៊ីនភ្ញៀវបើកចំហ និងការអនុវត្តម៉ាស៊ីនមេសម្រាប់ធ្វើការលើពិធីការ SSH 2.0 និង SFTP ត្រូវបានបង្ហាញ។ កំណែថ្មីនៃ sshd ជួសជុលភាពងាយរងគ្រោះ ដែលអាចអនុញ្ញាតឲ្យមានការចូលប្រើប្រាស់ដោយមិនបានផ្ទៀងផ្ទាត់។ បញ្ហាគឺបណ្តាលមកពីចំនួនគត់លើសចំណុះនៅក្នុងកូដផ្ទៀងផ្ទាត់ ប៉ុន្តែអាចទាញយកបានតែក្នុងការរួមបញ្ចូលគ្នាជាមួយកំហុសឡូជីខលផ្សេងទៀតនៅក្នុងកូដប៉ុណ្ណោះ។

នៅក្នុងទម្រង់បច្ចុប្បន្នរបស់វា ភាពងាយរងគ្រោះមិនអាចត្រូវបានទាញយកនៅពេលដែលរបៀបបំបែកឯកសិទ្ធិត្រូវបានបើកទេ ដោយសារការបង្ហាញរបស់វាត្រូវបានរារាំងដោយការត្រួតពិនិត្យដាច់ដោយឡែកដែលធ្វើឡើងនៅក្នុងកូដតាមដានការបំបែកឯកសិទ្ធិ។ របៀបបំបែកឯកសិទ្ធិត្រូវបានបើកដំណើរការតាមលំនាំដើមតាំងពីឆ្នាំ 2002 ចាប់តាំងពី OpenSSH 3.2.2 ហើយជាកាតព្វកិច្ចចាប់តាំងពីការចេញផ្សាយ OpenSSH 7.5 ដែលបានបោះពុម្ពក្នុងឆ្នាំ 2017។ លើសពីនេះ នៅក្នុងកំណែចល័តរបស់ OpenSSH ដែលចាប់ផ្តើមជាមួយនឹងការចេញផ្សាយ 6.5 (2014) ភាពងាយរងគ្រោះត្រូវបានរារាំងដោយការចងក្រងជាមួយនឹងការដាក់បញ្ចូលទង់ការពារចំនួនគត់។

ការផ្លាស់ប្តូរផ្សេងទៀត៖

• កំណែចល័តរបស់ OpenSSH នៅក្នុង sshd បានដកចេញនូវការគាំទ្រដើមសម្រាប់ការលួចពាក្យសម្ងាត់ដោយប្រើ MD5 algorithm (អនុញ្ញាតឱ្យភ្ជាប់ជាមួយបណ្ណាល័យខាងក្រៅដូចជា libxcrypt ត្រឡប់មកវិញ)។
• ssh, sshd, ssh-add និង ssh-agent អនុវត្តប្រព័ន្ធរងសម្រាប់ការរឹតបន្តឹងការផ្ទេរ និងការប្រើប្រាស់សោដែលបានបន្ថែមទៅភ្នាក់ងារ ssh ។ ប្រព័ន្ធរងអនុញ្ញាតឱ្យអ្នកកំណត់ច្បាប់ដែលកំណត់ពីរបៀប និងកន្លែងដែលគ្រាប់ចុចអាចត្រូវបានប្រើនៅក្នុងភ្នាក់ងារ ssh ។ ឧទាហរណ៍ ដើម្បីបន្ថែមសោដែលអាចប្រើបានតែដើម្បីផ្ទៀងផ្ទាត់នៅពេលដែលអ្នកប្រើប្រាស់ណាមួយភ្ជាប់ទៅម៉ាស៊ីន scylla.example.org អ្នកប្រើប្រាស់ perseus ទៅកាន់ host cetus.example.org និងអ្នកប្រើប្រាស់ medea ទៅកាន់ host charybdis.example.org ជាមួយនឹងការបញ្ជូនបន្តតាមរយៈ host intermediate scylla.example.org អ្នកអាចប្រើពាក្យបញ្ជាដូចខាងក្រោម៖ $dsh- "perseus@cetus.example.org" \ -h "scylla.example.org" \ -h "scylla.example.org>medea@charybdis.example.org" \ ~/.ssh/id_ed25519
• នៅក្នុង ssh និង sshd ក្បួនដោះស្រាយកូនកាត់ "sntrup761x25519-sha512@openssh.com" (ECDH/x25519 + NTRU Prime) ដែលធន់នឹងកម្លាំង brute នៅលើកុំព្យូទ័រ quantum ត្រូវបានបន្ថែមតាមលំនាំដើមទៅក្នុងបញ្ជី KexAlgorithms នៃលំដាប់នៃការជ្រើសរើសវិធីសាស្ត្រផ្លាស់ប្តូរ។ នៅក្នុង OpenSSH 8.9 វិធីសាស្ត្រចរចានេះត្រូវបានបន្ថែមរវាងវិធីសាស្ត្រ ECDH និង DH ប៉ុន្តែវាត្រូវបានគ្រោងនឹងប្រើប្រាស់តាមលំនាំដើមនៅក្នុងការចេញផ្សាយបន្ទាប់។
• ssh-keygen, ssh និង ssh-agent បានធ្វើឱ្យប្រសើរឡើងនូវការគ្រប់គ្រងសោនិមិត្តសញ្ញា FIDO ដែលប្រើសម្រាប់ការផ្ទៀងផ្ទាត់ឧបករណ៍ រួមទាំងសោសម្រាប់ការផ្ទៀងផ្ទាត់ជីវមាត្រផងដែរ។
• បានបន្ថែមពាក្យបញ្ជា "ssh-keygen -Y match-principals" ទៅ ssh-keygen ដើម្បីពិនិត្យមើលឈ្មោះអ្នកប្រើប្រាស់នៅក្នុងឯកសារបញ្ជីឈ្មោះអនុញ្ញាត។
• ssh-add និង ssh-agent ផ្តល់នូវសមត្ថភាពក្នុងការបន្ថែមសោ FIDO ដែលត្រូវបានការពារដោយលេខកូដ PIN ទៅ ssh-agent (សំណើកូដ PIN ត្រូវបានបង្ហាញនៅពេលនៃការផ្ទៀងផ្ទាត់) ។
• ssh-keygen អនុញ្ញាតឱ្យជម្រើសនៃក្បួនដោះស្រាយ hashing (sha512 ឬ sha256) កំឡុងពេលបង្កើតហត្ថលេខា។
• នៅក្នុង ssh និង sshd ដើម្បីបង្កើនប្រសិទ្ធភាព ទិន្នន័យបណ្តាញត្រូវបានអានដោយផ្ទាល់ទៅក្នុងសតិបណ្ដោះអាសន្ននៃកញ្ចប់ព័ត៌មានចូល ដោយរំលងការបណ្ដោះអាសន្នកម្រិតមធ្យមនៅលើជង់។ ការដាក់ដោយផ្ទាល់នៃទិន្នន័យដែលទទួលបានទៅក្នុងសតិបណ្ដោះអាសន្នឆានែលត្រូវបានអនុវត្តតាមរបៀបស្រដៀងគ្នា។
• នៅក្នុង ssh ការណែនាំ PubkeyAuthentication បានពង្រីកបញ្ជីនៃប៉ារ៉ាម៉ែត្រដែលបានគាំទ្រ (បាទ|ទេ|unbound|host-bound) ដើម្បីផ្តល់នូវសមត្ថភាពក្នុងការជ្រើសរើសផ្នែកបន្ថែមពិធីការដែលត្រូវប្រើ។

នៅក្នុងការចេញផ្សាយនាពេលអនាគត ឧបករណ៍ប្រើប្រាស់ scp ត្រូវបានគ្រោងនឹងប្តូរទៅ SFTP តាមលំនាំដើម ដោយជំនួសពិធីការ SCP/RCP ចាស់។ SFTP ប្រើវិធីសាស្ត្រដោះស្រាយឈ្មោះដែលអាចព្យាករណ៍បានច្រើនជាងមុន និងជៀសវាងការគ្រប់គ្រងលំនាំ glob ដែលងាយនឹងប៉ះពាល់ដល់សុវត្ថិភាពតាមរយៈសែលនៅលើម៉ាស៊ីនផ្សេងទៀត។ ជាពិសេស នៅពេលប្រើ SCP និង RCP ម៉ាស៊ីនមេសម្រេចចិត្តថាតើឯកសារ និងថតឯកសារណាដែលត្រូវផ្ញើទៅអតិថិជន ខណៈពេលដែលអតិថិជនគ្រាន់តែពិនិត្យមើលឈ្មោះវត្ថុដែលបានត្រឡប់មកវិញសម្រាប់ភាពត្រឹមត្រូវ។ នេះអនុញ្ញាតឱ្យមានការរំលោភលើសុវត្ថិភាព ប្រសិនបើការត្រួតពិនិត្យត្រឹមត្រូវមិនត្រូវបានអនុវត្តនៅផ្នែកអតិថិជន។ ម៉ាស៊ីនបម្រើ ផ្ទេរឈ្មោះឯកសារក្រៅពីឈ្មោះដែលបានស្នើសុំ។ ពិធីការ SFTP គ្មានបញ្ហាទាំងនេះទេ ប៉ុន្តែវាមិនគាំទ្រការពង្រីកផ្លូវពិសេសដូចជា "~/" ទេ។ ដើម្បីដោះស្រាយភាពខុសគ្នានេះ ផ្នែកបន្ថែមពិធីការ SFTP ថ្មីសម្រាប់ពង្រីកផ្លូវ ~/ និង ~user/ ត្រូវបានស្នើឡើងនៅក្នុងការចេញផ្សាយ OpenSSH ពីមុននៃការអនុវត្តម៉ាស៊ីនមេ SFTP។

ប្រភព: opennet.ru