Pēc piecu mēnešu izstrādes izlaidums , atklātā klienta un servera realizācija darbam pēc SSH 2.0 un SFTP protokoliem.
Galvenās izmaiņas:
- SSH un SSHD ir pievienota eksperimentālā atbalsta atslēgu apmaiņas metodei, kas ir izturīga pret kvantu datora uzbrukumiem. Kvantu datori kardināli ātrāk atrisina dabiska skaitļa faktorizēšanas jautājumu, kas ir mūsdienu asimetrisko šifrēšanas algoritmu pamatā un efektīvi nav risināms uz klasiskajiem procesoriem. Ieteiktā metode balstās uz algoritmu (funkcija ntrup4591761), kas izstrādāta pēc kvantu kriptosistēmām, un atslēgu apmaiņas metode, kas balstīta uz eliptiskajām līknēm X25519;
- SSHD direktīvās ListenAddress un PermitOpen tiek pārtraukts atbalsts novecojušajam sintaksei „host/port”, kas tika ieviesta 2001. gadā kā alternatīva „host:port” IPv6 atvieglošanai. Mūsdienu apstākļos IPv6 ir nostiprinājusies sintakse „[::1]:22”, un „host/port” bieži tiek jaukta ar apakšnetes (CIDR) norādīšanu;
- SSH, ssh-agent un ssh-add ir ieviesta atbalsta atslēgām PKCS#11 tokenos;
- SSH-keygen RSA atslēgas izmērs pēc noklusējuma ir palielināts līdz 3072 bitiem, saskaņā ar jaunajām NIST rekomendācijām;
- SSH ļauj izmantot iestatījumu „PKCS11Provider=none” direktīvas PKCS11Provider, kas noteikta ssh_config, pārrakstīšanai;
- SSHD nodrošina situāciju žurnālu, kad savienojums tiek pārtraukts, mēģinot izpildīt komandas, kas ir bloķētas ar ierobežojumu „ForceCommand=internal-sftp” sshd_config;
- SSH, izliekot jauna hosta atslēgas apstiprinājuma pieprasījumu, tagad atpazīst pareizu atslēgas fingerprinta atbildi vietā, kur agrāk tika gaidīta „yes” (atbildē uz aicinājumu apstiprināt savienojumu lietotājs var caur starpliktuvi nokopēt atsevišķi saņemto paraugu hash, lai manuāli to nesalīdzinātu);
- SSH-keygen nodrošina automātisku secības numura palielināšanu sertifikātā, radot digitālās parakstīšanas operācijas vairākiem sertifikātiem komandrindā;
- SCP un SFTP ir pievienota jauna opcija „-J”, kas ir ekvivalentu ProxyJump iestatījumam;
- SSH-agent, ssh-pkcs11-helper un ssh-add ir pievienots komandrindas opcijas „-v” apstrāde, lai palielinātu izvadītās informācijas informatīvo saturu (norādot šo iespēju, tā tiek nodota arī apakšprocesiem, piemēram, kad ssh-agent izsauc ssh-pkcs11-helper);
- SSH-add ir pievienota opcija „-T” atslēgu lietderības pārbaudei ssh-agent digitālo parakstu radīšanas un verificēšanas operācijām;
- SFTP server atbalsta paplašinājumu protokolam «lsetstat at openssh.com», kas pievieno SFTP atbalstu operācijai SSH2_FXP_SETSTAT, taču neseko simboliskām saitēm;
- SFTP pievienota opcija «-h» lai izpildītu komandas chown/chgrp/chmod ar pieprasījumiem, kas neizmanto simboliskās saites;
- SSHD nodrošina vides mainīgā $SSH_CONNECTION iestatīšanu PAM;
- SSHD ssh_config pievienots režīms pielāgošanai «Match final», līdzīgs «Match canonical», taču neprasa hosta vārda normalizāciju;
- SFTP pievienota atbalsts prefiksam ‘@’ lai atslēgtu komandu izpildes izvades translāciju partijas režīmā;
- Izvadei par sertifikāta saturu izmantojot komandu
«ssh-keygen -Lf /path/certificate» tagad tiek rādīts algoritms, ko izmantoja sertifikācijas iestāde sertifikāta parakstīšanai; - Uzlabots Cygwin vides atbalsts, piemēram, nodrošināta grupu un lietotāju nosaukumu salīdzināšana bez kreiso burtu ņemšanas vērā. SSHD process portā Cygwin mainīts uz cygsshd, lai izvairītos no pārklāšanās ar OpenSSH portu, ko piegādā Microsoft;
- Pievienota iespēja veidot ar eksperimentālo OpenSSL 3.x zaru;
- Novērsta (CVE-2019-6111) SCP utilītē, kas ļauj pārrakstīt nejaušus failus mērķa katalogā klienta pusē, apkalpojot uzbrucēja kontrolētu serveri. Problēma ir tāda, ka, izmantojot SCP, servers pieņem lēmumu, kuri faili un katalogi jānosūta klientam, savukārt klients tikai pārbauda atgriezto objektu nosaukumu pareizību. Pārbaude klienta pusē ierobežota ar iziešanas bloķēšanu no pašreizējā kataloga («..»), taču neņem vērā failu pārsūtīšanu ar nosaukumiem, kas atšķiras no sākotnēji pieprasītajiem. Ja tiek veikta rekursīvā kopēšana (-r), var manipulēt ne tikai ar failu nosaukumiem, bet arī apakškatalogu nosaukumiem. Piemēram, ja lietotājs kopē failus uz mājas katalogu, uzbrucēja kontrolētais serveris var izsniegt failus vietā pieprasītajiem, piemēram, failus .bash_aliases vai .ssh/authorized_keys, un tie tiks saglabāti SCP utilītas mājas katalogā.
Jaunajā laidienā SCP utilītē ir pievienots pieprasīto un servera nodoto failu nosaukumu atbilstības pārbaudījums, kas tiek veikts klienta pusē. Tajā pašā laikā var rasties problēmas ar masku apstrādi, jo masku simboli var atšķirīgi tikt apstrādāti servera un klienta pusē. Gadījumā, ja tādu atšķirību dēļ klients pārstās pieņemt failus, SCP ir pievienota opcija „-T”, kas ļauj atslēgt pārbaudi klienta pusē. Lai pilnvērtīgi novērstu problēmu, nepieciešams konceptuāls SCP protokola pārveidojums, kas jau pats par sevi ir novecojis, tāpēc tā vietā ieteicams lietot mūsdienīgākus protokolus, piemēram, SFTP un RSYNC.
Avots: opennet.lv
