ການປ່ອຍ OpenSSH 8.0

ຫຼັງຈາກຫ້າເດືອນຂອງການພັດທະນາ ນຳ ສະ ເໜີ ປ່ອຍຕົວ OpenSSH 8.0, ລູກຄ້າເປີດແລະການປະຕິບັດເຄື່ອງແມ່ຂ່າຍສໍາລັບການເຮັດວຽກຜ່ານໂປໂຕຄອນ SSH 2.0 ແລະ SFTP.

ການປ່ຽນແປງຕົ້ນຕໍ:

• ການທົດລອງສະຫນັບສະຫນູນວິທີການແລກປ່ຽນທີ່ສໍາຄັນທີ່ທົນທານຕໍ່ການໂຈມຕີຂອງ brute-force ໃນຄອມພິວເຕີ quantum ໄດ້ຖືກເພີ່ມເຂົ້າໃນ ssh ແລະ sshd. ຄອມພິວເຕີ Quantum ແມ່ນໄວຂຶ້ນຢ່າງຫຼວງຫຼາຍໃນການແກ້ໄຂບັນຫາຂອງການຍ່ອຍສະຫຼາຍຕົວເລກທໍາມະຊາດເຂົ້າໄປໃນປັດໃຈຕົ້ນຕໍ, ເຊິ່ງອີງໃສ່ລະບົບການເຂົ້າລະຫັດແບບ asymmetric ທີ່ທັນສະໄຫມແລະບໍ່ສາມາດແກ້ໄຂໄດ້ຢ່າງມີປະສິດທິພາບໃນໂປເຊດເຊີຄລາສສິກ. ວິທີການທີ່ສະເຫນີແມ່ນອີງໃສ່ສູດການຄິດໄລ່ NTRU Prime (function ntrup4591761), ພັດທະນາສໍາລັບລະບົບ crypto-quantum post-quantum, ແລະວິທີການແລກປ່ຽນທີ່ສໍາຄັນເສັ້ນໂຄ້ງ elliptic X25519;
• ໃນ sshd, ຄໍາສັ່ງ ListenAddress ແລະ PermitOpen ບໍ່ຮອງຮັບ syntax "host/port" ທີ່ເປັນມໍລະດົກອີກຕໍ່ໄປ, ເຊິ່ງຖືກປະຕິບັດໃນປີ 2001 ເປັນທາງເລືອກ "host:port" ເພື່ອເຮັດວຽກກັບ IPv6 ງ່າຍ. ໃນເງື່ອນໄຂທີ່ທັນສະໄຫມ, syntax "[:6]:1" ໄດ້ຖືກສ້າງຕັ້ງຂຶ້ນສໍາລັບ IPv22, ແລະ "host/port" ມັກຈະສັບສົນກັບການຊີ້ບອກ subnet (CIDR);
• ssh, ssh-agent ແລະ ssh-add ໃນປັດຈຸບັນສະຫນັບສະຫນູນກະແຈ ECDSA ໃນ PKCS#11 tokens;
• ໃນ ssh-keygen, ຂະຫນາດກະແຈ RSA ເລີ່ມຕົ້ນໄດ້ເພີ່ມຂຶ້ນເປັນ 3072 bits, ອີງຕາມຄໍາແນະນໍາ NIST ໃຫມ່;
• ssh ອະນຸຍາດໃຫ້ໃຊ້ການຕັ້ງຄ່າ "PKCS11Provider=none" ເພື່ອ override ຄໍາສັ່ງ PKCS11Provider ທີ່ລະບຸໄວ້ໃນ ssh_config;
• sshd ສະຫນອງການສະແດງບັນທຶກຂອງສະຖານະການໃນເວລາທີ່ການເຊື່ອມຕໍ່ຖືກຢຸດໃນເວລາທີ່ພະຍາຍາມປະຕິບັດຄໍາສັ່ງທີ່ຖືກບລັອກໂດຍຂໍ້ຈໍາກັດ "ForceCommand=internal-sftp" ໃນ sshd_config;
• ໃນ ssh, ເມື່ອສະແດງຄໍາຮ້ອງຂໍເພື່ອຢືນຢັນການຍອມຮັບຂອງລະຫັດໂຮດໃຫມ່, ແທນທີ່ຈະເປັນການຕອບ "ແມ່ນ", ນິ້ວມືທີ່ຖືກຕ້ອງຂອງກະແຈໄດ້ຖືກຍອມຮັບໃນປັດຈຸບັນ (ເພື່ອຕອບສະຫນອງການເຊື້ອເຊີນເພື່ອຢືນຢັນການເຊື່ອມຕໍ່, ຜູ້ໃຊ້ສາມາດຄັດລອກໄຟລ໌. ໄດ້​ຮັບ​ການ​ກະ​ສານ​ອ້າງ​ອີງ​ແຍກ​ຕ່າງ​ຫາກ​ໂດຍ​ຜ່ານ clipboard ໄດ້​, ດັ່ງ​ນັ້ນ​ເປັນ​ທີ່​ຈະ​ບໍ່​ໃຫ້​ການ​ປຽບ​ທຽບ​ຄູ່​ມື​;
• ssh-keygen ສະຫນອງການເພີ່ມອັດຕະໂນມັດຂອງຈໍານວນລໍາດັບໃບຢັ້ງຢືນໃນເວລາທີ່ສ້າງລາຍເຊັນດິຈິຕອນສໍາລັບໃບຢັ້ງຢືນຫຼາຍໃນແຖວຄໍາສັ່ງ;
• ທາງເລືອກໃຫມ່ "-J" ໄດ້ຖືກເພີ່ມເຂົ້າໃນ scp ແລະ sftp, ທຽບເທົ່າກັບການຕັ້ງຄ່າ ProxyJump;
• ໃນ ssh-agent, ssh-pkcs11-helper ແລະ ssh-add, ການປະມວນຜົນທາງເລືອກແຖວຄໍາສັ່ງ "-v" ໄດ້ຖືກເພີ່ມເພື່ອເພີ່ມເນື້ອໃນຂໍ້ມູນຂອງຜົນຜະລິດ (ເມື່ອກໍານົດ, ທາງເລືອກນີ້ຖືກສົ່ງຕໍ່ຂະບວນການເດັກນ້ອຍ, ສໍາລັບ. ຕົວຢ່າງ, ເມື່ອ ssh-pkcs11-helper ຖືກເອີ້ນຈາກ ssh-agent );
• ທາງເລືອກ “-T” ໄດ້ຖືກເພີ່ມໃສ່ ssh-add ເພື່ອທົດສອບຄວາມເໝາະສົມຂອງກະແຈໃນ ssh-agent ສໍາລັບການປະຕິບັດການສ້າງລາຍເຊັນດິຈິຕອນ ແລະການກວດສອບ;
• sftp-server ປະຕິບັດການສະຫນັບສະຫນູນສໍາລັບ "lsetstat at openssh.com" protocol extension, ເຊິ່ງເພີ່ມການສະຫນັບສະຫນູນສໍາລັບການດໍາເນີນງານ SSH2_FXP_SETSTAT ສໍາລັບ SFTP, ແຕ່ບໍ່ມີການເຊື່ອມຕໍ່ສັນຍາລັກ;
• ເພີ່ມ "-h" ທາງເລືອກທີ່ຈະ sftp ເພື່ອດໍາເນີນການຄໍາສັ່ງ chown/chgrp/chmod ກັບຄໍາຮ້ອງຂໍທີ່ບໍ່ໃຊ້ການເຊື່ອມຕໍ່ສັນຍາລັກ;
• sshd ໃຫ້ການຕັ້ງຄ່າຕົວແປສະພາບແວດລ້ອມ $SSH_CONNECTION ສໍາລັບ PAM;
• ສໍາລັບ sshd, ຮູບແບບການຈັບຄູ່ "ການແຂ່ງຂັນສຸດທ້າຍ" ໄດ້ຖືກເພີ່ມໃສ່ ssh_config, ເຊິ່ງຄ້າຍຄືກັບ "Match canonical", ແຕ່ບໍ່ຕ້ອງການການເຮັດໃຫ້ຊື່ເຈົ້າພາບປົກກະຕິເພື່ອເປີດໃຊ້;
• ເພີ່ມການສະຫນັບສະຫນູນສໍາລັບຄໍານໍາຫນ້າ '@' ກັບ sftp ເພື່ອປິດການແປພາສາຜົນຜະລິດຂອງຄໍາສັ່ງທີ່ປະຕິບັດໃນຮູບແບບ batch;
• ເມື່ອທ່ານສະແດງເນື້ອໃນຂອງໃບຢັ້ງຢືນໂດຍໃຊ້ຄໍາສັ່ງ
  "ssh-keygen -Lf /path/certificate" ຕອນນີ້ສະແດງ algorithm ທີ່ໃຊ້ໂດຍ CA ເພື່ອກວດສອບໃບຢັ້ງຢືນ;

• ການປັບປຸງການສະຫນັບສະຫນູນສໍາລັບສະພາບແວດລ້ອມ Cygwin, ສໍາລັບການຍົກຕົວຢ່າງ, ສະຫນອງການປຽບທຽບກໍລະນີທີ່ບໍ່ມີຕົວຕົນຂອງກຸ່ມແລະຊື່ຜູ້ໃຊ້. ຂະບວນການ sshd ໃນພອດ Cygwin ໄດ້ຖືກປ່ຽນເປັນ cygsshd ເພື່ອຫຼີກເວັ້ນການແຊກແຊງກັບພອດ OpenSSH ທີ່ Microsoft ສະໜອງໃຫ້;
• ເພີ່ມຄວາມສາມາດໃນການສ້າງດ້ວຍສາຂາ OpenSSL 3.x ທົດລອງ;
• ລົບລ້າງ ຄວາມອ່ອນແອ (CVE-2019-6111) ໃນການປະຕິບັດ scp utility, ເຊິ່ງອະນຸຍາດໃຫ້ໄຟລ໌ arbitrary ໃນໄດເລກະທໍລີເປົ້າຫມາຍຖືກຂຽນທັບໃນຝ່າຍລູກຄ້າໃນເວລາທີ່ເຂົ້າເຖິງເຄື່ອງແມ່ຂ່າຍທີ່ຄວບຄຸມໂດຍຜູ້ໂຈມຕີ. ບັນຫາແມ່ນວ່າເມື່ອໃຊ້ scp, ເຄື່ອງແມ່ຂ່າຍຕັດສິນໃຈວ່າໄຟລ໌ໃດແລະໄດເລກະທໍລີທີ່ຈະສົ່ງກັບລູກຄ້າ, ແລະລູກຄ້າພຽງແຕ່ກວດເບິ່ງຄວາມຖືກຕ້ອງຂອງຊື່ວັດຖຸທີ່ສົ່ງຄືນ. ການກວດສອບຝ່າຍລູກຄ້າແມ່ນຈໍາກັດພຽງແຕ່ການຂັດຂວາງການເດີນທາງນອກເຫນືອຈາກໄດເລກະທໍລີປະຈຸບັນ (“../”), ແຕ່ບໍ່ໄດ້ຄໍານຶງເຖິງການໂອນໄຟລ໌ທີ່ມີຊື່ແຕກຕ່າງຈາກທີ່ຮ້ອງຂໍໃນເບື້ອງຕົ້ນ. ໃນກໍລະນີຂອງການຄັດລອກແບບ recursive (-r), ນອກເຫນືອໄປຈາກຊື່ໄຟລ໌, ທ່ານຍັງສາມາດ manipulate ຊື່ຂອງ subdirectories ໃນລັກສະນະທີ່ຄ້າຍຄືກັນ. ຕົວຢ່າງ, ຖ້າຜູ້ໃຊ້ຄັດລອກໄຟລ໌ໄປຫາໄດເລກະທໍລີເຮືອນ, ເຄື່ອງແມ່ຂ່າຍທີ່ຄວບຄຸມໂດຍຜູ້ໂຈມຕີສາມາດຜະລິດໄຟລ໌ທີ່ມີຊື່ .bash_aliases ຫຼື .ssh/authorized_keys ແທນໄຟລ໌ທີ່ຮ້ອງຂໍ, ແລະພວກມັນຈະຖືກບັນທຶກໄວ້ໂດຍ scp utility ໃນຜູ້ໃຊ້. ໄດເລກະທໍລີເຮືອນ.

  ໃນການປ່ອຍໃຫມ່, ຜົນປະໂຫຍດ scp ໄດ້ຖືກປັບປຸງເພື່ອກວດເບິ່ງການຕອບໂຕ້ລະຫວ່າງຊື່ໄຟລ໌ທີ່ຮ້ອງຂໍແລະຜູ້ທີ່ຖືກສົ່ງໂດຍເຄື່ອງແມ່ຂ່າຍ, ເຊິ່ງປະຕິບັດຢູ່ໃນຝ່າຍລູກຄ້າ. ອັນນີ້ອາດເຮັດໃຫ້ເກີດບັນຫາກັບການປະມວນຜົນໜ້າກາກ, ເນື່ອງຈາກຕົວລະຄອນການຂະຫຍາຍໜ້າກາກອາດຈະຖືກປະມວນຜົນແຕກຕ່າງກັນຢູ່ຂ້າງເຊີບເວີ ແລະລູກຄ້າ. ໃນກໍລະນີທີ່ຄວາມແຕກຕ່າງດັ່ງກ່າວເຮັດໃຫ້ລູກຄ້າຢຸດເຊົາການຍອມຮັບໄຟລ໌ໃນ scp, ທາງເລືອກ "-T" ໄດ້ຖືກເພີ່ມເພື່ອປິດການກວດສອບດ້ານລູກຄ້າ. ເພື່ອແກ້ໄຂບັນຫາຢ່າງສົມບູນ, ການປະຕິບັດແນວຄວາມຄິດຂອງໂປໂຕຄອນ scp ແມ່ນຕ້ອງການ, ເຊິ່ງຕົວມັນເອງແມ່ນລ້າສະໄຫມແລ້ວ, ດັ່ງນັ້ນ, ມັນແນະນໍາໃຫ້ໃຊ້ໂປໂຕຄອນທີ່ທັນສະໄຫມຫຼາຍເຊັ່ນ sftp ແລະ rsync ແທນ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru