ការចេញផ្សាយ OpenSSH 9.8 ជាមួយនឹងការបិទក្បួនដោះស្រាយ DSA និងយន្តការសុវត្ថិភាពបន្ថែម

ការចេញផ្សាយ OpenSSH 9.8 ត្រូវបានបោះពុម្ព ដែលជាការអនុវត្តបើកចំហនៃម៉ាស៊ីនភ្ញៀវ និងម៉ាស៊ីនមេសម្រាប់ធ្វើការដោយប្រើពិធីការ SSH 2.0 និង SFTP ។ បន្ថែមពីលើការជួសជុលភាពងាយរងគ្រោះសំខាន់ដែលបានប្រកាសដាច់ដោយឡែក (CVE-2024-6387) ដែលអនុញ្ញាតឱ្យដំណើរការកូដពីចម្ងាយជាមួយនឹងសិទ្ធិជា root នៅដំណាក់កាលមុនការផ្ទៀងផ្ទាត់ កំណែថ្មីជួសជុលភាពងាយរងគ្រោះដែលមិនសូវគ្រោះថ្នាក់ផ្សេងទៀត ហើយស្នើការផ្លាស់ប្តូរសំខាន់ៗជាច្រើនក្នុងគោលបំណងធ្វើឱ្យប្រសើរឡើងនូវសុវត្ថិភាព។

ភាពងាយរងគ្រោះទីពីរអនុញ្ញាតឱ្យអ្នករំលងការការពារដែលបានបន្ថែមនៅក្នុង OpenSSH 9.5 ប្រឆាំងនឹងការវាយប្រហារតាមឆានែលចំហៀងដែលវិភាគការពន្យារពេលរវាងការចុចគ្រាប់ចុចនៅលើក្តារចុចដើម្បីបង្កើតការបញ្ចូលឡើងវិញ។ ភាពងាយរងគ្រោះអនុញ្ញាតឱ្យយើងបែងចែកកញ្ចប់ព័ត៌មានដែលបង្កើតសកម្មភាពផ្ទៃខាងក្រោយដោយក្លែងបន្លំការចុចគ្រាប់ចុចប្រឌិតពីកញ្ចប់ព័ត៌មានដែលបានផ្ញើនៅពេលចុចគ្រាប់ចុចពិត ដែលកាត់បន្ថយប្រសិទ្ធភាពនៃយន្តការសម្រាប់លាក់លក្ខណៈពិសេសនៃការបញ្ចូលអន្តរកម្មនៅក្នុងចរាចរណ៍នៅក្នុង ssh ។ ទិន្នន័យគ្រាប់ចុចបើកដំណើរការការវាយប្រហារដែលបង្កើតការបញ្ចូលឡើងវិញដោយការវិភាគការពន្យាពេលរវាងការចុចគ្រាប់ចុចនៅពេលវាយ ដែលអាស្រ័យលើប្លង់នៃគ្រាប់ចុចនៅលើក្តារចុច (ឧទាហរណ៍ ការឆ្លើយតបនៅពេលវាយអក្សរ “F” គឺលឿនជាងពេលវាយអក្សរ “Q” ឬ “ X” ដូច្នេះការចុចត្រូវការចលនាម្រាមដៃតិច)។

លើសពីនេះទៀត វាបានប្រែក្លាយថា ក្បួនដោះស្រាយដែលបានអនុវត្តសម្រាប់ការផ្ញើកញ្ចប់ព័ត៌មានជាមួយនឹងការចុចពិត និងប្រឌិតបានកាត់បន្ថយភាពជឿជាក់នៃវិធីសាស្រ្តមួយផ្សេងទៀតនៃការការពារប្រឆាំងនឹងការវាយប្រហារតាមឆានែលចំហៀង។ ចាប់តាំងពីការចេញផ្សាយ
ម៉ាស៊ីនមេ OpenSSH 2.9.9 បានផ្ញើកញ្ចប់ព័ត៌មានជាមួយនឹងការចុចប្រឌិតសម្រាប់ការបញ្ចូលកុងសូលក្នុងរបៀបបិទអេកូ ប្រើឧទាហរណ៍ នៅពេលបញ្ចូលពាក្យសម្ងាត់នៅក្នុង su ឬ sudo ។ តក្កវិជ្ជាថ្មីសម្រាប់ការផ្ញើកញ្ចប់ព័ត៌មានប្រឌិតបានធ្វើឱ្យវាអាចធ្វើទៅបានក្នុងអំឡុងពេលការវិភាគចរាចរណ៍អកម្ម ដើម្បីជ្រើសរើសកញ្ចប់ព័ត៌មានជាមួយនឹងការចុចពិតប្រាកដនៅក្នុងរបៀបបិទអេកូសម្រាប់ការវិភាគដាច់ដោយឡែករបស់ពួកគេ។ ក្នុងពេលជាមួយគ្នានេះ ភាពត្រឹមត្រូវនៃព័ត៌មានអំពីពេលវេលានៃការចុចត្រូវបានកំណត់ ដោយសារបន្ទាប់ពីការវាយ កញ្ចប់ព័ត៌មានមិនត្រូវបានផ្ញើភ្លាមៗទេ ប៉ុន្តែនៅចន្លោះពេលថេរ (20 ms តាមលំនាំដើម)។

ការផ្លាស់ប្តូរផ្សេងទៀតនៅក្នុង OpenSSH 9.8៖

• នៅដំណាក់កាលសាងសង់ ការគាំទ្រសម្រាប់ហត្ថលេខាឌីជីថលដោយផ្អែកលើក្បួនដោះស្រាយ DSA ត្រូវបានបិទតាមលំនាំដើម។ ការអនុវត្ត DSA នឹងត្រូវដកចេញពីមូលដ្ឋានកូដនៅដើមឆ្នាំ 2025។ ហេតុផលសម្រាប់ការលុបត្រូវបានលើកឡើងថាជាកម្រិតនៃការការពារនៅក្នុង DSA ដែលមិនបំពេញតាមតម្រូវការទំនើប។ តម្លៃនៃការបន្តរក្សាក្បួនដោះស្រាយ DSA ដែលមិនមានសុវត្ថិភាពគឺមិនមានតម្លៃទេ ហើយការដកចេញរបស់វានឹងលើកទឹកចិត្តឱ្យមានការបដិសេធការគាំទ្រ DSA នៅក្នុងការអនុវត្ត SSH និងបណ្ណាល័យគ្រីបគ្រីបផ្សេងទៀត។
• ដើម្បីការពារបន្ថែមទៀតប្រឆាំងនឹងវិធីសាស្ត្រកេងប្រវ័ញ្ចដែលតម្រូវឱ្យមានការតភ្ជាប់មួយចំនួនធំទៅកាន់ sshd របៀបការពារថ្មីមួយត្រូវបានអនុវត្ត និងបើកដំណើរការតាមលំនាំដើម។ របៀបនេះក៏ជួយទប់ស្កាត់ការវាយប្រហារទាយពាក្យសម្ងាត់ដោយស្វ័យប្រវត្តិផងដែរ ដែលបូតព្យាយាមទាយពាក្យសម្ងាត់របស់អ្នកប្រើប្រាស់ដោយសាកល្បងបន្សំធម្មតាផ្សេងៗ។ ការការពារនេះត្រូវបានអនុវត្តតាមរយៈការទប់ស្កាត់។ អាសយដ្ឋាន IPដែលកត់ត្រាចំនួនដ៏ច្រើននៃការប៉ុនប៉ងភ្ជាប់ដែលបរាជ័យ sshd ត្រួតពិនិត្យស្ថានភាពបញ្ចប់នៃដំណើរការកូន ដោយរកឃើញស្ថានភាពដែលការផ្ទៀងផ្ទាត់បរាជ័យ ឬដំណើរការត្រូវបានបញ្ចប់មិនប្រក្រតីដោយសារតែការគាំង។ នៅពេលដែលកម្រិតជាក់លាក់មួយត្រូវបានលើស វាចាប់ផ្តើមរារាំងសំណើពី IP ឬ subnet ដែលមានបញ្ហា។ ប៉ារ៉ាម៉ែត្រ PerSourcePenalties, PerSourceNetBlockSize និង PerSourcePenaltyExemptList អាចរកបានសម្រាប់កំណត់រចនាសម្ព័ន្ធកម្រិតរារាំង របាំង subnet ដែលត្រូវរារាំង និងបញ្ជីដកចេញ។
• sshd ត្រូវបានបំបែកទៅជាឯកសារដែលអាចប្រតិបត្តិបានដាច់ដោយឡែកជាច្រើន។ ដំណើរការ sshd-session ត្រូវបានបែងចែកពី sshd ដើម្បីអនុវត្តកិច្ចការដែលទាក់ទងនឹងដំណើរការសម័យ។ ដំណើរការ sshd រក្សាមុខងារដែលទទួលខុសត្រូវក្នុងការទទួលយកការភ្ជាប់បណ្តាញ ពិនិត្យការកំណត់រចនាសម្ព័ន្ធ ផ្ទុកសោម៉ាស៊ីន និងគ្រប់គ្រងដំណើរការចាប់ផ្តើមដោយអនុលោមតាមប៉ារ៉ាម៉ែត្រ MaxStartups ។ ដូច្នេះ sshd អាចប្រតិបត្តិបានឥឡូវនេះមានមុខងារអប្បបរមាដែលត្រូវការដើម្បីទទួលយកការភ្ជាប់បណ្តាញថ្មី និងចាប់ផ្តើម sshd-session ដើម្បីគ្រប់គ្រងវគ្គ។
• អត្ថបទនៃសារកំហុសមួយចំនួនដែលសរសេរទៅកំណត់ហេតុបានផ្លាស់ប្តូរ។ ជាពិសេស សារមួយចំនួនឥឡូវនេះត្រូវបានផ្ញើក្រោមឈ្មោះនៃដំណើរការ "sshd-session" ជាជាង "sshd"។
• ឥឡូវនេះឧបករណ៍ប្រើប្រាស់ ssh-keyscan បញ្ចេញកំណែពិធីការ និងព័ត៌មានឈ្មោះម៉ាស៊ីនទៅជាស្ទ្រីមស្តង់ដារជំនួសឱ្យ STDERR ។ ដើម្បីបិទលទ្ធផល ជម្រើស "-q" ត្រូវបានណែនាំ។
• នៅក្នុង ssh វាគឺអាចធ្វើទៅបានដើម្បីបិទ rollback ពីការប្រើវិញ្ញាបនបត្រសោម៉ាស៊ីនទៅការប្រើសោម៉ាស៊ីនធម្មតាតាមរយៈការណែនាំរបស់ HostkeyAlgorithms ។
• កំណែចល័តរបស់ sshd លែងប្រើតម្លៃ argv[0] ដើម្បីកំណត់ឈ្មោះសេវាកម្ម PAM ទៀតហើយ។ ដើម្បីកំណត់ឈ្មោះសេវាកម្ម PAM ការណែនាំថ្មី "PAMServiceName" ត្រូវបានបន្ថែមទៅ sshd_config ដែលត្រូវបានកំណត់ទៅជា "sshd" តាមលំនាំដើម។
• កំណែចល័តរបស់ sshd ធានាថាឯកសារដែលបានបង្កើតដោយស្វ័យប្រវត្តិ (កំណត់រចនាសម្ព័ន្ធស្គ្រីប config.h.in ។ បណ្ណសារ និងសាខានៅ Git ។
• កំណែចល័តរបស់ ssh និង ssh-agent ផ្តល់នូវការកំណត់របៀប
  SSH_ASKPASS នៅក្នុងវត្តមាននៃអថេរបរិស្ថាន WAYLAND_DISPLAY ស្រដៀងទៅនឹងរបៀបដែល X11 នេះត្រូវបានធ្វើនៅក្នុងវត្តមាននៃអថេរបរិស្ថាន DISPLAY ។
• កំណែចល័តរបស់ sshd បន្ថែមការគាំទ្រសម្រាប់ការផ្ញើការជូនដំណឹងទៅប្រព័ន្ធ នៅពេលដែលរន្ធបណ្តាញស្តាប់ត្រូវបានបង្កើត ឬចាប់ផ្តើមឡើងវិញ ដោយប្រើកូដដាច់ដោយឡែកដែលមិនហៅបណ្ណាល័យ libsystemd ។

ប្រភព: opennet.ru