OpenSSH 8.1 출시

XNUMX개월간의 개발 끝에 제시된 석방하다 OpenSSH 8.1, SSH 2.0 및 SFTP 프로토콜을 통해 작업하기 위한 개방형 클라이언트 및 서버 구현입니다.

새 릴리스에서는 ssh, sshd, ssh-add 및 ssh-keygen에 영향을 미치는 취약점을 제거하는 데 특히 주의를 기울였습니다. 문제는 XMSS 유형으로 개인 키를 구문 분석하는 코드에 존재하며 공격자가 정수 오버플로를 트리거할 수 있도록 허용합니다. 이 취약점은 악용 가능하다고 표시되었지만 XMSS 키에 대한 지원은 기본적으로 비활성화된 실험적 기능이기 때문에 거의 사용되지 않습니다(휴대용 버전에는 XMSS를 활성화하기 위한 autoconf의 빌드 옵션조차 없습니다).

주요 변경 사항 :

• SSH, SSHD 및 SSH-Agent에서 추가 다음과 같은 부채널 공격의 결과로 RAM에 있는 개인 키의 복구를 방지하는 코드 스펙터, 멜트다운, 로우해머 и 램 블리드. 이제 개인 키는 메모리에 로드될 때 암호화되고 사용 중일 때만 해독되며 나머지 시간에는 암호화된 상태로 유지됩니다. 이 접근 방식을 사용하여 개인 키를 성공적으로 복구하려면 공격자는 먼저 기본 키를 암호화하는 데 사용되는 무작위로 생성된 16KB 크기의 중간 키를 복구해야 합니다. 이는 현대 공격의 일반적인 복구 오류율을 고려할 때 거의 발생하지 않습니다.
• В ssh-keygen 디지털 서명 생성 및 확인을 위한 단순화된 체계에 대한 실험적 지원이 추가되었습니다. 디지털 서명은 디스크나 SSH-agent에 저장된 일반 SSH 키를 사용하여 생성할 수 있으며, Authorized_keys와 유사한 것을 사용하여 확인할 수 있습니다. 유효한 키 목록. 네임스페이스 정보는 다른 영역(예: 이메일 및 파일)에서 사용될 때 혼동을 피하기 위해 디지털 서명에 내장되어 있습니다.
• ssh-keygen은 RSA 키를 기반으로 하는 디지털 서명이 있는 인증서를 검증할 때(CA 모드에서 작업할 때) 기본적으로 rsa-sha2-512 알고리즘을 사용하도록 전환되었습니다. 이러한 인증서는 OpenSSH 7.2 이전 릴리스와 호환되지 않습니다(호환성을 보장하려면 예를 들어 "ssh-keygen -t ssh-rsa -s ..."를 호출하여 알고리즘 유형을 재정의해야 함).
• SSH에서 ProxyCommand 표현식은 이제 "%n" 대체(주소 표시줄에 지정된 호스트 이름) 확장을 지원합니다.
• 이제 ssh 및 sshd에 대한 암호화 알고리즘 목록에서 "^" 문자를 사용하여 기본 알고리즘을 삽입할 수 있습니다. 예를 들어 ssh-ed25519를 기본 목록에 추가하려면 "HostKeyAlgorithms ^ssh-ed25519"를 지정할 수 있습니다.
• ssh-keygen은 개인 키에서 공개 키를 추출할 때 키에 첨부된 주석의 출력을 제공합니다.
• 키 조회 작업(예: "ssh-keygen -vF 호스트")을 수행할 때 ssh-keygen에 "-v" 플래그를 사용하여 시각적 호스트 서명 결과를 지정하는 기능이 추가되었습니다.
• 사용할 수 있는 기능이 추가되었습니다. PKCS8 개인 키를 디스크에 저장하기 위한 대체 형식으로 사용됩니다. PEM 형식은 기본적으로 계속 사용되며 PKCS8은 타사 응용 프로그램과의 호환성을 달성하는 데 유용할 수 있습니다.

출처 : opennet.ru