ProHoster > OpenSSH 8.2 versija izlaista ar atbalstu FIDO/U2F divfaktoru autentifikācijas žetoniem

OpenSSH 8.2 versija izlaista ar atbalstu FIDO/U2F divfaktoru autentifikācijas žetoniem

Pēc četru mēneÅ”u attÄ«stÄ«bas uzrādÄ«ts atbrÄ«vot OpenSSH 8.2, atvērta klienta un servera ievieÅ”ana darbam, izmantojot SSH 2.0 un SFTP protokolus.

BÅ«tisks uzlabojums OpenSSH 8.2 versijā bija iespēja izmantot divfaktoru autentifikāciju ierÄ«cēs, kas atbalsta Å”o protokolu. U2F, ko izstrādājusi alianse FIDOU2F ļauj izveidot lētus aparatÅ«ras žetonus, lai pārbaudÄ«tu lietotāja fizisko klātbÅ«tni, mijiedarbojoties ar viņu, izmantojot USB, Bluetooth vai NFC. Å Ä«s ierÄ«ces tiek reklamētas kā divfaktoru autentifikācijas lÄ«dzeklis tÄ«mekļa vietnēs, tās jau atbalsta lielākās pārlÅ«kprogrammas, un tās ražo dažādi ražotāji, tostarp Yubico, Feitian, Thetis un Kensington.

Lai mijiedarbotos ar ierÄ«cēm, kas apstiprina lietotāja klātbÅ«tni, OpenSSH ir pievienojis jaunus atslēgu veidus ā€” "ecdsa-sk" un "ed25519-sk", kas izmanto ECDSA un Ed25519 digitālā paraksta algoritmus kombinācijā ar SHA-256 jaucējkodu. ProcedÅ«ras mijiedarbÄ«bai ar žetoniem ir pārvietotas uz starpbibliotēku, kas tiek ielādēta lÄ«dzÄ«gi kā PKCS#11 atbalsta bibliotēka un darbojas kā bibliotēkas ietvars. libfido2, kas nodroÅ”ina lÄ«dzekļus saziņai ar žetoniem, izmantojot USB (tiek atbalstÄ«ti FIDO U2F/CTAP 1 un FIDO 2.0/CTAP 2 protokoli). OpenSSH izstrādātāju sagatavotā starpposma bibliotēka libsk-libfido2, iekļauts libfido2 pamatsastāvā, kā arÄ« HID draiveris OpenBSD paredzētam.

Lai autentificētos un Ä£enerētu atslēgu, iestatÄ«jumos jānorāda parametrs "SecurityKeyProvider" vai jāiestata vides mainÄ«gais SSH_SK_PROVIDER, norādot ceļu uz ārējo bibliotēku libsk-libfido2.so (eksportēt SSH_SK_PROVIDER=/path/to/libsk-libfido2.so). OpenSSH var veidot ar iebÅ«vētu atbalstu starpniekbibliotēkai (--with-security-key-builtin); Å”ajā gadÄ«jumā jāiestata parametrs "SecurityKeyProvider=internal".
Pēc tam palaidiet komandu "ssh-keygen -t ecdsa-sk" vai, ja atslēgas jau ir izveidotas un konfigurētas, izveidojiet savienojumu ar serveri, izmantojot "ssh". Palaižot komandu ssh-keygen, ģenerētais atslēgu pāris tiks saglabāts failā "~/.ssh/id_ecdsa_sk" un to varēs izmantot tāpat kā citas atslēgas.

Publiskā atslēga (id_ecdsa_sk.pub) ir jākopē servera authorized_keys failā. Serveris pārbauda tikai digitālo parakstu, savukārt mijiedarbÄ«ba ar marÄ·ieri notiek klienta pusē (libsk-libfido2 nav jāinstalē serverÄ«, taču serverim ir jāatbalsta atslēgas tips "ecdsa-sk"). Ä¢enerētā privātā atslēga (id_ecdsa_sk) bÅ«tÄ«bā ir atslēgas deskriptors, kas veido reālu atslēgu tikai kopā ar slepeno secÄ«bu, kas saglabāta U2F marÄ·ierÄ«. Ja uzbrucējs iegÅ«st id_ecdsa_sk atslēgu, viņam bÅ«s nepiecieÅ”ama arÄ« piekļuve aparatÅ«ras marÄ·ierim autentifikācijai, bez kuras privātā atslēga, kas saglabāta id_ecdsa_sk failā, ir bezjēdzÄ«ga.

Turklāt pēc noklusējuma visām galvenajām darbÄ«bām (gan Ä£enerÄ“Å”anai, gan autentifikācijai) ir nepiecieÅ”ams lokāls lietotāja fiziskās klātbÅ«tnes apstiprinājums, piemēram, pieskarÅ”anās sensoram uz marÄ·iera, kas apgrÅ«tina attālinātu uzbrukumu veikÅ”anu sistēmām ar pievienotu marÄ·ieri. Kā papildu droŔības slāni ssh-keygen startÄ“Å”anas laikā var iestatÄ«t arÄ« paroli piekļuvei atslēgas failam.

Jaunā OpenSSH versija arÄ« paziņoja par gaidāmo algoritmu, kas izmanto SHA-1 heÅ”us, novecoÅ”anu, jo veicināŔanu sadursmes uzbrukumu efektivitāte ar noteiktu prefiksu (sadursmes izvēles izmaksas tiek lēstas aptuveni 45 tÅ«kstoÅ”u dolāru apmērā). Vienā no gaidāmajiem laidieniem viņi plāno pēc noklusējuma atspējot iespēju izmantot ssh-rsa publiskās atslēgas digitālā paraksta algoritmu, kas ir minēts sākotnējā RFC SSH protokolam un joprojām ir plaÅ”i izplatÄ«ts praksē (lai pārbaudÄ«tu ssh izmantoÅ”anu -rsa savās sistēmās, varat mēģināt izveidot savienojumu, izmantojot ssh, izmantojot opciju "-oHostKeyAlgorithms=-ssh-rsa").

Lai vienmērÄ«gi pārietu uz jauniem OpenSSH algoritmiem, nākamajā laidienā pēc noklusējuma tiks iespējots iestatÄ«jums UpdateHostKeys, kas automātiski migrēs klientus uz uzticamākiem algoritmiem. Ieteicamie migrācijas algoritmi ietver rsa-sha2-256/512, pamatojoties uz RFC8332 RSA SHA-2 (tiek atbalstÄ«ts kopÅ” OpenSSH 7.2 un tiek izmantots pēc noklusējuma), ssh-ed25519 (atbalstÄ«ts kopÅ” OpenSSH 6.5) un ecdsa-sha2-nistp256/384. uz RFC521 ECDSA (atbalstÄ«ts kopÅ” OpenSSH 5656).

OpenSSH 8.2 joprojām atbalsta savienojuma izveidi, izmantojot "ssh-rsa", taču Å”is algoritms ir noņemts no CASignatureAlgorithms saraksta, kas definē algoritmus, kas atļauti jaunu sertifikātu digitālai parakstÄ«Å”anai. LÄ«dzÄ«gi diffie-hellman-group14-sha1 algoritms ir noņemts no atbalstÄ«tajiem noklusējuma atslēgu apmaiņas algoritmiem. JāatzÄ«mē, ka SHA-1 izmantoÅ”ana sertifikātos rada papildu risku, jo uzbrucējam ir neierobežots laiks, lai atrastu esoÅ”a sertifikāta sadursmi, savukārt uzbrukumus resursdatora atslēgām ierobežo savienojuma taimauts (LoginGraceTime).

Palaižot ssh-keygen, pēc noklusējuma tagad tiek izmantots rsa-sha2-512 algoritms, kas tiek atbalstÄ«ts kopÅ” OpenSSH 7.2 versijas, kas var radÄ«t saderÄ«bas problēmas, mēģinot apstrādāt ar OpenSSH 8.2 parakstÄ«tus sertifikātus sistēmās, kurās darbojas vecākas OpenSSH versijas (lai apietu Å”o problēmu, Ä£enerējot parakstu, varat skaidri norādÄ«t "ssh-keygen -t ssh-rsa" vai izmantot algoritmus ecdsa-sha2-nistp256/384/521, kas tiek atbalstÄ«ti kopÅ” OpenSSH 5.7 versijas).

Citas izmaiņas:

  • Sshd_config ir pievienota direktÄ«va ā€œIekļauÅ”anaā€, kas ļauj citu failu saturu iekļaut konfigurācijas faila paÅ”reizējā pozÄ«cijā (norādot faila nosaukumu, var izmantot globālās maskas);
  • ssh-keygen ir pievienota opcija "bez pieskāriena", kas atspējo nepiecieÅ”amÄ«bu fiziski apstiprināt piekļuvi tokenam, Ä£enerējot atslēgu;
  • PubkeyAuthOptions direktÄ«va ir pievienota sshd_config failam, apvienojot dažādas ar publiskās atslēgas autentifikāciju saistÄ«tas opcijas. PaÅ”laik tiek atbalstÄ«ts tikai karodziņŔ "no-touch-required", kas ļauj izlaist fiziskās klātbÅ«tnes pārbaudi tokena autentifikācijas laikā. LÄ«dzÄ«gi opcija "no-touch-required" ir pievienota failam authorized_keys.
  • Funkcijai ssh-keygen ir pievienota opcija "-O write-attestation=/path", kas ļauj Ä£enerēt atslēgas, ierakstot papildu FIDO apliecinājuma sertifikātus. OpenSSH paÅ”laik neizmanto Å”os sertifikātus, taču tos varēs izmantot nākotnē, lai pārbaudÄ«tu, vai atslēga ir saglabāta uzticamā aparatÅ«ras krātuvē.
  • SSH un sshd iestatÄ«jumos tagad ir iespējams iestatÄ«t datplÅ«smas prioritātes režīmu, izmantojot IPQoS direktÄ«vu. LE DSCP (Mazākas piepÅ«les uz vienu lēcienu uzvedÄ«ba);
  • SSH vidē, iestatot vērtÄ«bu "AddKeysToAgent=yes", ja atslēga nesatur komentāra lauku, tā tiks pievienota ssh aÄ£entam ar atslēgas ceļu, kas norādÄ«ts kā komentārs.
    ssh-keygen un ssh-agent tagad atslēgā kā komentārus izmanto arī PKCS#11 etiķetes un X.509 subjekta nosaukumu, nevis bibliotēkas ceļu;
  • Pievienota iespēja eksportēt PEM DSA un ECDSA atslēgām uz ssh-keygen;
  • Pievienots jauns izpildāmais fails ssh-sk-helper, ko izmanto, lai izolētu bibliotēkas piekļuvi FIDO/U2F žetoniem;
  • SSH un sshd pievienota kompilÄ“Å”anas opcija "--with-zlib", lai kompilētu ar zlib bibliotēkas atbalstu;
  • Saskaņā ar RFC 4253 savienojuma reklāmkarogā tagad tiek parādÄ«ts brÄ«dinājums par piekļuves bloÄ·Ä“Å”anu MaxStartups ierobežojuma pārsniegÅ”anas dēļ. Lai vienkārÅ”otu diagnostiku, sshd procesa galvenē, kas ir redzama, izmantojot ps utilÄ«tu, tagad tiek parādÄ«ts paÅ”laik autentificēto savienojumu skaits un MaxStartups ierobežojuma statuss.
  • SSH un ssh-agent vidē, izsaucot programmu, lai ekrānā parādÄ«tu ielÅ«gumu, kas norādÄ«ts, izmantojot $SSH_ASKPASS, tagad papildus tiek nodots karodziņŔ ar ielÅ«guma veidu: ā€œapstiprinātā€ ā€” apstiprinājuma dialoglodziņŔ (jā/nē), ā€œnavā€ ā€” informatÄ«vs ziņojums, ā€œtukÅ”sā€ ā€” paroles pieprasÄ«jums;
  • ssh-keygen ir pievienota jauna digitālā paraksta operācija "find-principals", lai meklētu atļauto parakstÄ«tāju failā lietotāju, kas saistÄ«ts ar norādÄ«to digitālo parakstu;
  • Š£Š»ŃƒŃ‡ŃˆŠµŠ½Š° ŠæŠ¾Š“Š“ŠµŃ€Š¶ŠŗŠ° ŠøŠ·Š¾Š»ŃŃ†ŠøŠø ŠæрŠ¾Ń†ŠµŃŃŠ° sshd Š² Linux ŠæрŠø ŠæŠ¾Š¼Š¾Ń‰Šø Š¼ŠµŃ…Š°Š½ŠøŠ·Š¼Š° seccomp: Š·Š°ŠæрŠµŃ‰ŠµŠ½Ń‹ сŠøстŠµŠ¼Š½Ń‹Šµ Š²Ń‹Š·Š¾Š²Ń‹ IPC, рŠ°Š·Ń€ŠµŃˆŠµŠ½Ń‹ clock_gettime64(), clock_nanosleep_time64 Šø clock_nanosleep().

Avots: opennet.ru

Iegādājieties uzticamu mitināŔanu vietnēm ar DDoS aizsardzÄ«bu, VPS VDS serveriem šŸ”„ Iegādājieties uzticamu tÄ«mekļa vietņu mitināŔanu ar DDoS aizsardzÄ«bu, VPS VDS serveriem | ProHoster