ການປ່ອຍ OpenSSH 8.1

ຫຼັງຈາກຫົກເດືອນຂອງການພັດທະນາ ນຳ ສະ ເໜີ ປ່ອຍຕົວ OpenSSH 8.1, ລູກຄ້າເປີດແລະການປະຕິບັດເຄື່ອງແມ່ຂ່າຍສໍາລັບການເຮັດວຽກຜ່ານໂປໂຕຄອນ SSH 2.0 ແລະ SFTP.

ຄວາມສົນໃຈພິເສດໃນການປ່ອຍໃຫມ່ແມ່ນການກໍາຈັດຊ່ອງຫວ່າງທີ່ມີຜົນກະທົບຕໍ່ ssh, sshd, ssh-add ແລະ ssh-keygen. ບັນຫາແມ່ນມີຢູ່ໃນລະຫັດສໍາລັບການວິເຄາະລະຫັດສ່ວນຕົວທີ່ມີປະເພດ XMSS ແລະອະນຸຍາດໃຫ້ຜູ້ໂຈມຕີສາມາດເຮັດໃຫ້ເກີດການລົ້ນຈໍານວນເຕັມ. ຊ່ອງໂຫວ່ຖືກໝາຍວ່າເປັນການຂູດຮີດ, ແຕ່ມີການນຳໃຊ້ໜ້ອຍ, ເນື່ອງຈາກການຮອງຮັບກະແຈ XMSS ເປັນຄຸນສົມບັດທົດລອງທີ່ຖືກປິດການນຳໃຊ້ໂດຍຄ່າເລີ່ມຕົ້ນ (ສະບັບມືຖືບໍ່ມີທາງເລືອກໃນການກໍ່ສ້າງໃນ autoconf ເພື່ອເປີດໃຊ້ XMSS).

ການປ່ຽນແປງຕົ້ນຕໍ:

• ໃນ ssh, sshd ແລະ ssh-agent ເພີ່ມ ລະຫັດທີ່ປ້ອງກັນການຟື້ນຕົວຂອງກະແຈສ່ວນຕົວທີ່ຢູ່ໃນ RAM ເປັນຜົນມາຈາກການໂຈມຕີຊ່ອງຂ້າງ, ເຊັ່ນ: ຜູ້ຊົມ Spectre, Meltdown, RowHammer и RAMBleed. ຕອນນີ້ກະແຈສ່ວນຕົວຖືກເຂົ້າລະຫັດເມື່ອຖືກໂຫລດໃສ່ໃນໜ່ວຍຄວາມຈຳ ແລະຖອດລະຫັດສະເພາະເມື່ອນຳໃຊ້ເທົ່ານັ້ນ, ຈະຖືກເຂົ້າລະຫັດໃນສ່ວນທີ່ເຫຼືອຂອງເວລາ. ດ້ວຍວິທີນີ້, ເພື່ອກູ້ລະຫັດສ່ວນຕົວຢ່າງສຳເລັດຜົນ, ຜູ້ໂຈມຕີຈະຕ້ອງໄດ້ກູ້ເອົາລະຫັດຕົວກາງທີ່ສ້າງຂຶ້ນແບບສຸ່ມຂະໜາດ 16 KB, ນຳໃຊ້ເພື່ອເຂົ້າລະຫັດລັບຫຼັກ, ເຊິ່ງບໍ່ໜ້າຈະໃຫ້ອັດຕາຄວາມຜິດພາດການຟື້ນຕົວຕາມປົກກະຕິຂອງການໂຈມຕີສະໄໝໃໝ່;
• В ssh-keygen ເພີ່ມການສະຫນັບສະຫນູນການທົດລອງສໍາລັບໂຄງການທີ່ງ່າຍດາຍສໍາລັບການສ້າງແລະການກວດສອບລາຍເຊັນດິຈິຕອນ. ລາຍເຊັນດິຈິຕອນສາມາດຖືກສ້າງຂື້ນໂດຍໃຊ້ກະແຈ SSH ປົກກະຕິທີ່ເກັບໄວ້ໃນດິສກ໌ຫຼືໃນ ssh-agent, ແລະຢືນຢັນໂດຍໃຊ້ບາງສິ່ງບາງຢ່າງທີ່ຄ້າຍຄືກັນກັບ authorized_keys ບັນຊີລາຍຊື່ຂອງກະແຈທີ່ຖືກຕ້ອງ. ຂໍ້ມູນ Namespace ຖືກສ້າງຂຶ້ນໃນລາຍເຊັນດິຈິຕອນເພື່ອຫຼີກເວັ້ນການສັບສົນໃນເວລາທີ່ຖືກນໍາໃຊ້ໃນພື້ນທີ່ຕ່າງໆ (ຕົວຢ່າງ, ສໍາລັບອີເມລ໌ແລະໄຟລ໌);
• ssh-keygen ໄດ້ຖືກປ່ຽນໂດຍຄ່າເລີ່ມຕົ້ນເພື່ອໃຊ້ rsa-sha2-512 algorithm ເມື່ອການກວດສອບໃບຢັ້ງຢືນທີ່ມີລາຍເຊັນດິຈິຕອນໂດຍອີງໃສ່ລະຫັດ RSA (ເມື່ອເຮັດວຽກຢູ່ໃນໂຫມດ CA). ໃບຢັ້ງຢືນດັ່ງກ່າວບໍ່ເຫມາະສົມກັບການປ່ອຍອອກມາກ່ອນ OpenSSH 7.2 (ເພື່ອຮັບປະກັນຄວາມເຂົ້າກັນໄດ້, ປະເພດ algorithm ຕ້ອງຖືກ overridden, ຕົວຢ່າງໂດຍການໂທຫາ "ssh-keygen -t ssh-rsa -s ... ");
• ໃນ ssh, ການສະແດງ ProxyCommand ໃນປັດຈຸບັນສະຫນັບສະຫນູນການຂະຫຍາຍການທົດແທນ "%n" (ຊື່ເຈົ້າພາບທີ່ລະບຸໄວ້ໃນແຖບທີ່ຢູ່);
• ໃນບັນຊີລາຍຊື່ຂອງສູດການຄິດໄລ່ການເຂົ້າລະຫັດສໍາລັບ ssh ແລະ sshd, ຕອນນີ້ທ່ານສາມາດນໍາໃຊ້ຕົວອັກສອນ "^" ເພື່ອແຊກ algorithms ເລີ່ມຕົ້ນ. ຕົວຢ່າງ, ເພື່ອເພີ່ມ ssh-ed25519 ໃສ່ລາຍການເລີ່ມຕົ້ນ, ທ່ານສາມາດລະບຸ "HostKeyAlgorithms ^ssh-ed25519";
• ssh-keygen ສະຫນອງຜົນໄດ້ຮັບຂອງຄໍາເຫັນທີ່ຕິດກັບຄີໃນເວລາທີ່ສະກັດລະຫັດສາທາລະນະຈາກເອກະຊົນ;
• ເພີ່ມຄວາມສາມາດໃນການໃຊ້ທຸງ “-v” ໃນ ssh-keygen ໃນເວລາດໍາເນີນການຄົ້ນຫາທີ່ສໍາຄັນ (ຕົວຢ່າງ, “ssh-keygen -vF host”), ໂດຍລະບຸວ່າອັນໃດສົ່ງຜົນໃຫ້ມີລາຍເຊັນໂຮສພາບ;
• ເພີ່ມຄວາມສາມາດໃນການນໍາໃຊ້ PKCS8 ເປັນຮູບແບບທາງເລືອກສໍາລັບການເກັບຮັກສາກະແຈສ່ວນຕົວໃນແຜ່ນ. ຮູບແບບ PEM ຍັງສືບຕໍ່ຖືກນໍາໃຊ້ໂດຍຄ່າເລີ່ມຕົ້ນ, ແລະ PKCS8 ອາດຈະເປັນປະໂຫຍດສໍາລັບການບັນລຸຄວາມເຂົ້າກັນໄດ້ກັບແອັບພລິເຄຊັນພາກສ່ວນທີສາມ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru