OpenSSH 8.0 റിലീസ്

അഞ്ച് മാസത്തെ വികസനത്തിന് ശേഷം അവതരിപ്പിച്ചു പ്രകാശനം OpenSSH 8.0, SSH 2.0, SFTP പ്രോട്ടോക്കോളുകൾ വഴി പ്രവർത്തിക്കുന്നതിനുള്ള ഒരു ഓപ്പൺ ക്ലയന്റും സെർവർ നടപ്പിലാക്കലും.

പ്രധാന മാറ്റങ്ങൾ:

• ഒരു ക്വാണ്ടം കമ്പ്യൂട്ടറിലെ ബ്രൂട്ട്-ഫോഴ്‌സ് ആക്രമണങ്ങളെ പ്രതിരോധിക്കുന്ന ഒരു കീ എക്‌സ്‌ചേഞ്ച് രീതിക്കുള്ള പരീക്ഷണാത്മക പിന്തുണ ssh, sshd എന്നിവയിലേക്ക് ചേർത്തു. ആധുനിക അസമമിതി എൻക്രിപ്ഷൻ അൽഗോരിതങ്ങൾക്ക് അടിവരയിടുന്ന ഒരു സ്വാഭാവിക സംഖ്യയെ പ്രൈം ഘടകങ്ങളാക്കി വിഘടിപ്പിക്കുന്ന പ്രശ്നം പരിഹരിക്കുന്നതിൽ ക്വാണ്ടം കമ്പ്യൂട്ടറുകൾക്ക് സമൂലമായ വേഗമുണ്ട്, ഇത് ക്ലാസിക്കൽ പ്രോസസ്സറുകളിൽ ഫലപ്രദമായി പരിഹരിക്കാൻ കഴിയില്ല. നിർദ്ദിഷ്ട രീതി അൽഗോരിതം അടിസ്ഥാനമാക്കിയുള്ളതാണ് NTRU പ്രൈം (ഫംഗ്ഷൻ ntrup4591761), പോസ്റ്റ്-ക്വാണ്ടം ക്രിപ്‌റ്റോസിസ്റ്റങ്ങൾക്കായി വികസിപ്പിച്ചെടുത്തത്, കൂടാതെ എലിപ്റ്റിക് കർവ് കീ എക്‌സ്‌ചേഞ്ച് രീതി X25519;
• sshd-ൽ, ListenAddress, PermitOpen നിർദ്ദേശങ്ങൾ ഇനിമുതൽ ലെഗസി "ഹോസ്റ്റ്/പോർട്ട്" വാക്യഘടനയെ പിന്തുണയ്ക്കുന്നില്ല, ഇത് IPv2001-നൊപ്പം പ്രവർത്തിക്കുന്നത് ലളിതമാക്കുന്നതിന് "host:port" എന്നതിന് പകരമായി 6-ൽ നടപ്പിലാക്കി. ആധുനിക സാഹചര്യങ്ങളിൽ, IPv6 നായി "[::1]:22" എന്ന വാക്യഘടന സ്ഥാപിച്ചിട്ടുണ്ട്, കൂടാതെ "ഹോസ്റ്റ്/പോർട്ട്" എന്നത് സബ്നെറ്റിനെ (CIDR) സൂചിപ്പിക്കുന്നതുമായി പലപ്പോഴും ആശയക്കുഴപ്പത്തിലാക്കുന്നു;
• ssh, ssh-agent, ssh-add എന്നിവ ഇപ്പോൾ പിന്തുണയ്ക്കുന്ന കീകൾ ഇസിഡിഎസ്എ PKCS#11 ടോക്കണുകളിൽ;
• ssh-keygen-ൽ, പുതിയ NIST ശുപാർശകൾക്ക് അനുസൃതമായി, സ്ഥിരസ്ഥിതി RSA കീ വലുപ്പം 3072 ബിറ്റുകളായി വർദ്ധിപ്പിച്ചിരിക്കുന്നു;
• ssh_config-ൽ വ്യക്തമാക്കിയിട്ടുള്ള PKCS11Provider നിർദ്ദേശം മറികടക്കാൻ "PKCS11Provider=none" ക്രമീകരണം ഉപയോഗിക്കാൻ ssh അനുവദിക്കുന്നു;
• sshd_config-ലെ “ForceCommand=internal-sftp” നിയന്ത്രണത്താൽ തടഞ്ഞ കമാൻഡുകൾ എക്സിക്യൂട്ട് ചെയ്യാൻ ശ്രമിക്കുമ്പോൾ, കണക്ഷൻ അവസാനിപ്പിക്കുമ്പോൾ സാഹചര്യങ്ങളുടെ ഒരു ലോഗ് ഡിസ്പ്ലേ sshd നൽകുന്നു;
• ssh-ൽ, ഒരു പുതിയ ഹോസ്റ്റ് കീയുടെ സ്വീകാര്യത സ്ഥിരീകരിക്കുന്നതിനുള്ള ഒരു അഭ്യർത്ഥന പ്രദർശിപ്പിക്കുമ്പോൾ, "അതെ" എന്നതിന് പകരം, കീയുടെ ശരിയായ വിരലടയാളം ഇപ്പോൾ സ്വീകരിക്കപ്പെടുന്നു (കണക്ഷൻ സ്ഥിരീകരിക്കാനുള്ള ക്ഷണത്തിന് മറുപടിയായി, ഉപയോക്താവിന് പകർത്താൻ കഴിയും ക്ലിപ്പ്ബോർഡ് വഴി വെവ്വേറെ റഫറൻസ് ഹാഷ് ലഭിച്ചു, അതിനാൽ ഇത് സ്വമേധയാ താരതമ്യം ചെയ്യരുത്);
• കമാൻഡ് ലൈനിൽ ഒന്നിലധികം സർട്ടിഫിക്കറ്റുകൾക്കായി ഡിജിറ്റൽ സിഗ്നേച്ചറുകൾ സൃഷ്ടിക്കുമ്പോൾ ssh-keygen സർട്ടിഫിക്കറ്റ് സീക്വൻസ് നമ്പർ ഓട്ടോമാറ്റിക് ഇൻക്രിമെന്റിംഗ് നൽകുന്നു;
• പ്രോക്സിജമ്പ് ക്രമീകരണത്തിന് തുല്യമായ "-ജെ" എന്ന പുതിയ ഓപ്ഷൻ scp, sftp എന്നിവയിലേക്ക് ചേർത്തു;
• ssh-agent, ssh-pkcs11-helper, ssh-add എന്നിവയിൽ, ഔട്ട്‌പുട്ടിന്റെ വിവര ഉള്ളടക്കം വർദ്ധിപ്പിക്കുന്നതിന് “-v” കമാൻഡ് ലൈൻ ഓപ്ഷന്റെ പ്രോസസ്സിംഗ് ചേർത്തിട്ടുണ്ട് (നിർദ്ദേശിക്കുമ്പോൾ, ഈ ഓപ്ഷൻ ചൈൽഡ് പ്രോസസുകളിലേക്ക് കൈമാറുന്നു. ഉദാഹരണത്തിന്, ssh-pkcs11-സഹായിയെ ssh-ഏജൻറിൽ നിന്ന് വിളിക്കുമ്പോൾ );
• ഡിജിറ്റൽ സിഗ്നേച്ചർ സൃഷ്‌ടിക്കുന്നതിനും സ്ഥിരീകരണ പ്രവർത്തനങ്ങൾ നടത്തുന്നതിനുമുള്ള ssh-ഏജന്റിലുള്ള കീകളുടെ അനുയോജ്യത പരിശോധിക്കുന്നതിനായി “-T” ഓപ്ഷൻ ssh-add-ലേക്ക് ചേർത്തു;
• sftp-server "lsetstat at openssh.com" പ്രോട്ടോക്കോൾ വിപുലീകരണത്തിനുള്ള പിന്തുണ നടപ്പിലാക്കുന്നു, ഇത് SFTP-നുള്ള SSH2_FXP_SETSTAT പ്രവർത്തനത്തിനുള്ള പിന്തുണ ചേർക്കുന്നു, എന്നാൽ പ്രതീകാത്മക ലിങ്കുകൾ പിന്തുടരാതെ;
• പ്രതീകാത്മക ലിങ്കുകൾ ഉപയോഗിക്കാത്ത അഭ്യർത്ഥനകൾക്കൊപ്പം chown/chgrp/chmod കമാൻഡുകൾ പ്രവർത്തിപ്പിക്കുന്നതിന് sftp-ലേക്ക് "-h" ഓപ്ഷൻ ചേർത്തു;
• PAM-നുള്ള $SSH_CONNECTION എൻവയോൺമെന്റ് വേരിയബിളിന്റെ ക്രമീകരണം sshd നൽകുന്നു;
• sshd-നായി, ssh_config-ലേക്ക് ഒരു "Match final" മാച്ചിംഗ് മോഡ് ചേർത്തിട്ടുണ്ട്, അത് "Match canonical" എന്നതിന് സമാനമാണ്, എന്നാൽ ഹോസ്റ്റ് നെയിം നോർമലൈസേഷൻ പ്രവർത്തനക്ഷമമാക്കേണ്ട ആവശ്യമില്ല;
• ബാച്ച് മോഡിൽ എക്‌സിക്യൂട്ട് ചെയ്‌ത കമാൻഡുകളുടെ ഔട്ട്‌പുട്ടിന്റെ വിവർത്തനം പ്രവർത്തനരഹിതമാക്കുന്നതിന് sftp-ലേക്ക് '@' പ്രിഫിക്‌സിനുള്ള പിന്തുണ ചേർത്തു;
• കമാൻഡ് ഉപയോഗിച്ച് നിങ്ങൾ ഒരു സർട്ടിഫിക്കറ്റിന്റെ ഉള്ളടക്കം പ്രദർശിപ്പിക്കുമ്പോൾ
  "ssh-keygen -Lf /path/certificate" ഇപ്പോൾ സർട്ടിഫിക്കറ്റ് സാധൂകരിക്കാൻ CA ഉപയോഗിക്കുന്ന അൽഗോരിതം പ്രദർശിപ്പിക്കുന്നു;

• സിഗ്വിൻ എൻവയോൺമെന്റിനുള്ള മെച്ചപ്പെട്ട പിന്തുണ, ഉദാഹരണത്തിന് ഗ്രൂപ്പിന്റെയും ഉപയോക്തൃ നാമങ്ങളുടെയും കേസ്-ഇൻസെൻസിറ്റീവ് താരതമ്യം നൽകുന്നു. മൈക്രോസോഫ്റ്റ് വിതരണം ചെയ്യുന്ന ഓപ്പൺഎസ്എസ്എച്ച് പോർട്ടിൽ ഇടപെടാതിരിക്കാൻ സിഗ്വിൻ പോർട്ടിലെ sshd പ്രോസസ്സ് cygsshd ആയി മാറ്റി;
• പരീക്ഷണാത്മക OpenSSL 3.x ബ്രാഞ്ച് ഉപയോഗിച്ച് നിർമ്മിക്കാനുള്ള കഴിവ് ചേർത്തു;
• ഒഴിവാക്കി ദുർബലത (CVE-2019-6111) scp യൂട്ടിലിറ്റി നടപ്പിലാക്കുന്നതിൽ, ഒരു ആക്രമണകാരി നിയന്ത്രിത സെർവർ ആക്‌സസ് ചെയ്യുമ്പോൾ ടാർഗെറ്റ് ഡയറക്‌ടറിയിലെ അനിയന്ത്രിതമായ ഫയലുകൾ ക്ലയന്റ് വശത്ത് തിരുത്തിയെഴുതാൻ അനുവദിക്കുന്നു. scp ഉപയോഗിക്കുമ്പോൾ, ക്ലയന്റിലേക്ക് ഏത് ഫയലുകളും ഡയറക്‌ടറികളും അയയ്‌ക്കണമെന്ന് സെർവർ തീരുമാനിക്കുന്നു എന്നതാണ് പ്രശ്‌നം, കൂടാതെ ക്ലയന്റ് തിരികെ നൽകിയ ഒബ്‌ജക്റ്റ് പേരുകളുടെ കൃത്യത മാത്രമേ പരിശോധിക്കൂ. നിലവിലെ ഡയറക്‌ടറിക്ക് (“../”) അപ്പുറത്തുള്ള യാത്ര തടയുന്നതിന് മാത്രമായി ക്ലയന്റ്-സൈഡ് പരിശോധന പരിമിതപ്പെടുത്തിയിരിക്കുന്നു, എന്നാൽ യഥാർത്ഥത്തിൽ ആവശ്യപ്പെട്ടതിൽ നിന്ന് വ്യത്യസ്തമായ പേരുകളുള്ള ഫയലുകളുടെ കൈമാറ്റം കണക്കിലെടുക്കുന്നില്ല. ആവർത്തന പകർപ്പിന്റെ കാര്യത്തിൽ (-r), ഫയൽ നാമങ്ങൾക്ക് പുറമേ, നിങ്ങൾക്ക് ഉപഡയറക്‌ടറികളുടെ പേരുകളും സമാനമായ രീതിയിൽ കൈകാര്യം ചെയ്യാൻ കഴിയും. ഉദാഹരണത്തിന്, ഉപയോക്താവ് ഹോം ഡയറക്‌ടറിയിലേക്ക് ഫയലുകൾ പകർത്തുകയാണെങ്കിൽ, ആക്രമണകാരി നിയന്ത്രിക്കുന്ന സെർവറിന് അഭ്യർത്ഥിച്ച ഫയലുകൾക്ക് പകരം .bash_aliases അല്ലെങ്കിൽ .ssh/authorized_keys എന്ന പേരുകളുള്ള ഫയലുകൾ നിർമ്മിക്കാൻ കഴിയും, അവ ഉപയോക്താവിന്റെ scp യൂട്ടിലിറ്റി വഴി സംരക്ഷിക്കപ്പെടും. ഹോം ഡയറക്ടറി.

  പുതിയ പതിപ്പിൽ, അഭ്യർത്ഥിച്ച ഫയൽ നാമങ്ങളും സെർവർ അയച്ചവയും തമ്മിലുള്ള കത്തിടപാടുകൾ പരിശോധിക്കുന്നതിനായി scp യൂട്ടിലിറ്റി അപ്‌ഡേറ്റ് ചെയ്‌തിരിക്കുന്നു, അത് ക്ലയന്റ് വശത്ത് നടപ്പിലാക്കുന്നു. ഇത് മാസ്ക് പ്രോസസ്സിംഗിൽ പ്രശ്നങ്ങൾ ഉണ്ടാക്കിയേക്കാം, കാരണം സെർവറിലും ക്ലയന്റ് വശങ്ങളിലും മാസ്ക് എക്സ്പാൻഷൻ പ്രതീകങ്ങൾ വ്യത്യസ്തമായി പ്രോസസ്സ് ചെയ്തേക്കാം. അത്തരം വ്യത്യാസങ്ങൾ ക്ലയന്റ് scp-ൽ ഫയലുകൾ സ്വീകരിക്കുന്നത് നിർത്താൻ ഇടയാക്കിയാൽ, ക്ലയന്റ്-സൈഡ് ചെക്കിംഗ് പ്രവർത്തനരഹിതമാക്കുന്നതിന് "-T" ഓപ്ഷൻ ചേർത്തിരിക്കുന്നു. പ്രശ്നം പൂർണ്ണമായി പരിഹരിക്കുന്നതിന്, scp പ്രോട്ടോക്കോളിന്റെ ഒരു ആശയപരമായ പുനർനിർമ്മാണം ആവശ്യമാണ്, അത് ഇതിനകം തന്നെ കാലഹരണപ്പെട്ടതാണ്, അതിനാൽ പകരം sftp, rsync പോലുള്ള കൂടുതൽ ആധുനിക പ്രോട്ടോക്കോളുകൾ ഉപയോഗിക്കാൻ ശുപാർശ ചെയ്യുന്നു.

അവലംബം: opennet.ru