OpenSSH 9.5 izlaidums

Publicēts OpenSSH 9.5 izlaidums, atvērtā klienta un servera realizācija darbam, izmantojot SSH 2.0 un SFTP protokolus.

Galvenās izmaiņas:

• ssh-keygen tagad pēc noklusējuma iekļauj Ed25519 digitālo parakstu atslēgu ģenerēšanu, ko izstrādājis Daniels Bernstein, un kas standartizēta RFC 8709. Jāatzīmē, ka Ed25519 atslēgas tiek atbalstītas sākot no OpenSSH 6.5 (2014. gadā) un ir ērtākas, pateicoties to mazajam izmēram. Turklāt Ed25519 digitālie paraksti nodrošina augstāku drošības līmeni nekā ECDSA un DSA, un demonstrē ļoti augstu parakstu izveides un pārbaudes ātrumu. Ed25519 robustuma līmenis ir aptuveni 2^128 (vidēji uzbrukumam uz Ed25519 nepieciešams veikt 2^140 bitu operācijas), kas atbilst tādu algoritmu kā NIST P-256 un RSA ar 375 baitu atslēgas izmēru vai 128 bitu blokšifram. Ed25519 arī nav pakļauts kolīziju problēmām hashēšanā, nav jutīgs pret uzbrukumiem, kas balstīti uz kešatmiņas aizturi (cache-timing attacks), un uzbrukumiem ar sānu kanāliem (side-channel attacks).
• ssh rīkam pievienota aizsardzība pret sānu kanālu uzbrukumiem, kas analizē taustiņu nospiešanas atlikumus, lai atveidotu ievadi. Šādi uzbrukumi balstās uz to, ka atlikumi starp taustiņu nospiešanām atkarīgi no taustiņu izvietojuma uz klaviatūras (piemēram, reakcija uz burtu "F" ir ātrāka nekā uz "Q" vai "X", jo taustiņa nospiešanai nepieciešama mazāka roku kustība). SSH bija pakļauts šiem uzbrukumiem, jo tas nosūtīja informāciju par nospiesto simbolu atsevišķā pakotnē uzreiz pēc katra taustiņa nospiešanas, līdz ar to atlikumi starp pakotņu sūtīšanu sakrita ar atlikumiem starp taustiņu nospiešanām.

  Lai slēptu interaktīvās ievades īpatnības tīklā, ssh ir ieviesta datu sūtīšana nevis kamēr ievade tiek veikta, bet tikai pa fiksētiem laika intervāliem (pēc noklusējuma 20 ms). Turklāt, lai maldinātu uzbrucējus, nejaušos brīžos pēc īsto datu nosūtīšanas tiek sūtīti viltus taustiņu nospiešanas signāli. Lai konfigurētu aizsardzību, ssh_config ir pievienots parametrs "ObscureKeystrokeTiming".
• SSH un sshd ir ieviesta SSH protokola paplašinājuma "ping@openssh.com" atbalsts, kas pievieno jaunu ziņojumu veidu SSH2_MSG_PING un SSH2_MSG_PONG periodiskai paketu sūtīšanai vienmērīgos laika posmos. Šis paplašinājums ir nepieciešams, lai aizsargātu pret uzbrukumiem, kas tiek veikti caur ārējiem kanāliem.
• sshd atļauj pārdefinēt Sybsystem direktīvas caur Match blokiem.
• sshd Subsystem direktīvā ir mainīta kvotu apstrāde, kas tagad saglabā kvotas komandām un argumentiem, kas var novest pie savietojamības pārkāpumiem ar ļoti retām konfigurācijām.

Avots: opennet.lv