ການປ່ອຍ OpenSSH 8.7

ຫຼັງຈາກສີ່ເດືອນຂອງການພັດທະນາ, ການປ່ອຍ OpenSSH 8.7, ການປະຕິບັດແບບເປີດຂອງລູກຄ້າແລະເຄື່ອງແມ່ຂ່າຍສໍາລັບການເຮັດວຽກໃນໄລຍະ SSH 2.0 ແລະ SFTP protocols, ໄດ້ຖືກນໍາສະເຫນີ.

ການປ່ຽນແປງຕົ້ນຕໍ:

• ຮູບແບບການໂອນຂໍ້ມູນແບບທົດລອງໄດ້ຖືກເພີ່ມໃສ່ scp ໂດຍໃຊ້ໂປຣໂຕຄໍ SFTP ແທນໂປຣໂຕຄໍ SCP/RCP ແບບດັ້ງເດີມ. SFTP ໃຊ້ວິທີການຈັດການຊື່ທີ່ຄາດເດົາໄດ້ຫຼາຍຂຶ້ນແລະບໍ່ໃຊ້ການປຸງແຕ່ງຮູບແກະຂອງຮູບແບບ glob ໃນອີກດ້ານຫນຶ່ງຂອງເຈົ້າພາບ, ເຊິ່ງສ້າງບັນຫາຄວາມປອດໄພ. ເພື່ອເປີດໃຊ້ SFTP ໃນ scp, ທຸງ "-s" ໄດ້ຖືກສະເຫນີ, ແຕ່ໃນອະນາຄົດມັນຖືກວາງແຜນທີ່ຈະປ່ຽນເປັນໂປໂຕຄອນນີ້ໂດຍຄ່າເລີ່ມຕົ້ນ.
• sftp-server ປະຕິບັດການຂະຫຍາຍໄປຍັງໂປໂຕຄອນ SFTP ເພື່ອຂະຫຍາຍເສັ້ນທາງ ~/ ແລະ ~ ຜູ້ໃຊ້, ເຊິ່ງເປັນສິ່ງຈໍາເປັນສໍາລັບ scp.
• scp utility ໄດ້ປ່ຽນພຶດຕິກໍາໃນເວລາທີ່ການຄັດລອກໄຟລ໌ລະຫວ່າງສອງ host ຫ່າງໄກສອກຫຼີກ (ຕົວຢ່າງ, "scp host-a: /path host-b:"), ເຊິ່ງໃນປັດຈຸບັນແມ່ນເຮັດໄດ້ໂດຍຄ່າເລີ່ມຕົ້ນໂດຍຜ່ານ host ທ້ອງຖິ່ນລະດັບກາງ, ຄືກັບເວລາທີ່ລະບຸ " - ທຸງ 3 ". ວິທີການນີ້ຊ່ວຍໃຫ້ທ່ານສາມາດຫຼີກລ່ຽງການຖ່າຍທອດຂໍ້ມູນປະຈໍາຕົວທີ່ບໍ່ຈໍາເປັນໃຫ້ກັບເຈົ້າພາບທໍາອິດແລະການຕີຄວາມຫມາຍສາມຄັ້ງຂອງຊື່ໄຟລ໌ໃນແກະ (ໃນດ້ານແຫຼ່ງ, ຈຸດຫມາຍປາຍທາງແລະລະບົບທ້ອງຖິ່ນ), ແລະເມື່ອໃຊ້ SFTP, ມັນຊ່ວຍໃຫ້ທ່ານໃຊ້ວິທີການກວດສອບຄວາມຖືກຕ້ອງທັງຫມົດເມື່ອເຂົ້າເຖິງຫ່າງໄກສອກຫຼີກ. ເຈົ້າພາບ, ແລະບໍ່ພຽງແຕ່ວິທີການທີ່ບໍ່ມີການໂຕ້ຕອບ . ທາງເລືອກ "-R" ໄດ້ຖືກເພີ່ມເພື່ອຟື້ນຟູພຶດຕິກໍາເກົ່າ.
• ເພີ່ມການຕັ້ງຄ່າ ForkAfterAuthentication ໃສ່ ssh ທີ່ສອດຄ້ອງກັບທຸງ "-f".
• ເພີ່ມການຕັ້ງຄ່າ StdinNull ໃສ່ ssh, ກົງກັບທຸງ "-n".
• ການຕັ້ງຄ່າ SessionType ໄດ້ຖືກເພີ່ມໃສ່ ssh, ໂດຍຜ່ານທີ່ທ່ານສາມາດກໍານົດຮູບແບບທີ່ສອດຄ້ອງກັນກັບທຸງ "-N" (ບໍ່ມີ session) ແລະ "-s" (ລະບົບຍ່ອຍ).
• ssh-keygen ອະນຸຍາດໃຫ້ທ່ານລະບຸໄລຍະຄວາມຖືກຕ້ອງທີ່ສໍາຄັນໃນໄຟລ໌ທີ່ສໍາຄັນ.
• ເພີ່ມທຸງ "-Oprint-pubkey" ໃສ່ ssh-keygen ເພື່ອພິມລະຫັດສາທາລະນະເຕັມທີ່ເປັນສ່ວນຫນຶ່ງຂອງລາຍເຊັນ sshsig.
• ໃນ ssh ແລະ sshd, ທັງລູກຂ່າຍ ແລະເຊີບເວີໄດ້ຖືກຍ້າຍໄປໃຊ້ຕົວແຍກໄຟລ໌ການຕັ້ງຄ່າທີ່ເຂັ້ມງວດກວ່າທີ່ໃຊ້ກົດລະບຽບຄ້າຍຄື shell ສໍາລັບການຈັດການວົງຢືມ, ຍະຫວ່າງ, ແລະຕົວອັກສອນທີ່ຫລົບຫນີ. parser ໃຫມ່ຍັງບໍ່ລະເລີຍການສົມມຸດຕິຖານທີ່ເຮັດໄວ້ກ່ອນຫນ້ານີ້, ເຊັ່ນ: ຍົກເວັ້ນການໂຕ້ຖຽງໃນທາງເລືອກ (ຕົວຢ່າງ, ຄໍາສັ່ງ DenyUsers ບໍ່ສາມາດຖືກປະໄວ້ຫວ່າງເປົ່າ), ວົງຢືມທີ່ບໍ່ໄດ້ປິດ, ແລະການກໍານົດ multiple = ຕົວອັກສອນ.
• ເມື່ອໃຊ້ບັນທຶກ SSHFP DNS ເມື່ອກວດສອບລະຫັດ, ssh ຕອນນີ້ກວດເບິ່ງບັນທຶກທີ່ກົງກັນທັງຫມົດ, ບໍ່ພຽງແຕ່ມີປະເພດສະເພາະຂອງລາຍເຊັນດິຈິຕອນເທົ່ານັ້ນ.
• ໃນ ssh-keygen, ເມື່ອສ້າງລະຫັດ FIDO ດ້ວຍຕົວເລືອກ -Ochallenge, ຊັ້ນກໍ່ສ້າງໃນຕອນນີ້ຖືກນໍາໃຊ້ສໍາລັບການ hashing, ແທນທີ່ຈະ libfido2, ເຊິ່ງອະນຸຍາດໃຫ້ນໍາໃຊ້ລໍາດັບສິ່ງທ້າທາຍທີ່ໃຫຍ່ກວ່າຫຼືນ້ອຍກວ່າ 32 bytes.
• ໃນ sshd, ໃນເວລາທີ່ການປະມວນຜົນສະພາບແວດລ້ອມ = " ... " ຄໍາສັ່ງໃນໄຟລ໌ authorized_keys, ການຈັບຄູ່ທໍາອິດໄດ້ຖືກຍອມຮັບໃນປັດຈຸບັນແລະມີການຈໍາກັດຂອງ 1024 ຊື່ຕົວແປສະພາບແວດລ້ອມ.

ນັກພັດທະນາ OpenSSH ຍັງໄດ້ເຕືອນກ່ຽວກັບການເສື່ອມໂຊມຂອງ algorithms ໂດຍໃຊ້ SHA-1 hashes ເນື່ອງຈາກການເພີ່ມປະສິດທິພາບຂອງການໂຈມຕີການປະທະກັນທີ່ມີຄໍານໍາຫນ້າ (ຄ່າໃຊ້ຈ່າຍໃນການຄັດເລືອກການປະທະກັນແມ່ນປະມານ 50 ພັນໂດລາ). ໃນການປ່ອຍຕໍ່ໄປ, ພວກເຮົາວາງແຜນທີ່ຈະປິດການໃຊ້ງານໂດຍຄ່າເລີ່ມຕົ້ນ ຄວາມສາມາດໃນການໃຊ້ລະບົບການເຊັນຊື່ດິຈິຕອນສາທາລະນະ "ssh-rsa", ເຊິ່ງໄດ້ກ່າວເຖິງໃນ RFC ຕົ້ນສະບັບສໍາລັບໂປໂຕຄອນ SSH ແລະຍັງຖືກນໍາໃຊ້ຢ່າງກວ້າງຂວາງໃນການປະຕິບັດ.

ເພື່ອທົດສອບການໃຊ້ ssh-rsa ໃນລະບົບຂອງທ່ານ, ທ່ານສາມາດລອງເຊື່ອມຕໍ່ຜ່ານ ssh ດ້ວຍຕົວເລືອກ “-oHostKeyAlgorithms=-ssh-rsa”. ໃນຂະນະດຽວກັນ, ການປິດການໃຊ້ລາຍເຊັນດິຈິຕອນ "ssh-rsa" ໂດຍຄ່າເລີ່ມຕົ້ນບໍ່ໄດ້ຫມາຍຄວາມວ່າການປະຖິ້ມການໃຊ້ກະແຈ RSA ຢ່າງສົມບູນ, ເພາະວ່ານອກຈາກ SHA-1, ໂປໂຕຄອນ SSH ອະນຸຍາດໃຫ້ໃຊ້ວິທີການຄິດໄລ່ hash ອື່ນໆ. ໂດຍສະເພາະ, ນອກເໜືອໄປຈາກ “ssh-rsa”, ມັນຍັງສາມາດນຳໃຊ້ຊຸດ “rsa-sha2-256” (RSA/SHA256) ແລະ “rsa-sha2-512” (RSA/SHA512).

ເພື່ອເຮັດໃຫ້ການຫັນປ່ຽນໄປສູ່ລະບົບສູດການຄິດໄລ່ໃໝ່ທີ່ລຽບງ່າຍ, ກ່ອນຫນ້ານີ້ OpenSSH ມີການຕັ້ງຄ່າ UpdateHostKeys ຖືກເປີດໃຊ້ໂດຍຄ່າເລີ່ມຕົ້ນ, ເຊິ່ງຊ່ວຍໃຫ້ລູກຄ້າສາມາດປ່ຽນໄປໃຊ້ສູດການຄິດໄລ່ທີ່ເຊື່ອຖືໄດ້ຫຼາຍຂຶ້ນໂດຍອັດຕະໂນມັດ. ການນໍາໃຊ້ການຕັ້ງຄ່ານີ້, ການຂະຫຍາຍໂປໂຕຄອນພິເສດໄດ້ຖືກເປີດໃຊ້ "[email protected]", ອະນຸຍາດໃຫ້ເຄື່ອງແມ່ຂ່າຍ, ຫຼັງຈາກການກວດສອບຄວາມຖືກຕ້ອງ, ແຈ້ງລູກຄ້າກ່ຽວກັບລະຫັດໂຮດທັງຫມົດທີ່ມີຢູ່. ລູກຄ້າສາມາດສະທ້ອນເຖິງກະແຈເຫຼົ່ານີ້ຢູ່ໃນໄຟລ໌ ~/.ssh/known_hosts ຂອງມັນ, ເຊິ່ງອະນຸຍາດໃຫ້ມີການປັບປຸງລະຫັດໂຮສ ແລະເຮັດໃຫ້ມັນງ່າຍຂຶ້ນໃນການປ່ຽນລະຫັດໃນເຊີບເວີ.

ການນໍາໃຊ້ UpdateHostKeys ແມ່ນຖືກຈໍາກັດໂດຍຂໍ້ແນະນໍາຈໍານວນຫນຶ່ງທີ່ອາດຈະຖືກໂຍກຍ້າຍອອກໃນອະນາຄົດ: ລະຫັດຕ້ອງຖືກອ້າງອີງໃນ UserKnownHostsFile ແລະບໍ່ຖືກນໍາໃຊ້ໃນ GlobalKnownHostsFile; ກຸນແຈຕ້ອງຢູ່ໃນຊື່ດຽວເທົ່ານັ້ນ; ໃບຢັ້ງຢືນຫຼັກຂອງເຈົ້າພາບບໍ່ຄວນຖືກນໍາໃຊ້; ໃນທີ່ຮູ້ຈັກ_hosts ຫນ້າກາກໂດຍຊື່ເຈົ້າພາບບໍ່ຄວນຖືກນໍາໃຊ້; ການຕັ້ງຄ່າ VerifyHostKeyDNS ຕ້ອງຖືກປິດໃຊ້ງານ; ພາຣາມິເຕີ UserKnownHostsFile ຕ້ອງມີການເຄື່ອນໄຫວ.

ສູດການຄິດໄລ່ທີ່ແນະນຳສຳລັບການເຄື່ອນຍ້າຍລວມມີ rsa-sha2-256/512 ໂດຍອີງໃສ່ RFC8332 RSA SHA-2 (ຮອງຮັບຕັ້ງແຕ່ OpenSSH 7.2 ແລະ ຖືກໃຊ້ເປັນຄ່າເລີ່ມຕົ້ນ), ssh-ed25519 (ຮອງຮັບຕັ້ງແຕ່ OpenSSH 6.5) ແລະ ecdsa-sha2-nisp256/384 ໃນ RFC521 ECDSA (ຮອງຮັບຕັ້ງແຕ່ OpenSSH 5656).

ແຫຼ່ງຂໍ້ມູນ: opennet.ru