rsa-sha ഡിജിറ്റൽ സിഗ്നേച്ചറുകൾക്കുള്ള പിന്തുണ പ്രവർത്തനരഹിതമാക്കിക്കൊണ്ട് OpenSSH 8.8-ന്റെ റിലീസ്

SSH 8.8, SFTP പ്രോട്ടോക്കോളുകൾ ഉപയോഗിച്ച് പ്രവർത്തിക്കുന്നതിനുള്ള ഒരു ക്ലയന്റിന്റെയും സെർവറിന്റെയും തുറന്ന നിർവ്വഹണമായ OpenSSH 2.0-ന്റെ റിലീസ് പ്രസിദ്ധീകരിച്ചു. ഒരു SHA-1 ഹാഷ് ("ssh-rsa") ഉപയോഗിച്ച് RSA കീകൾ അടിസ്ഥാനമാക്കിയുള്ള ഡിജിറ്റൽ സിഗ്നേച്ചറുകൾ ഉപയോഗിക്കാനുള്ള കഴിവ് ഡിഫോൾട്ടായി പ്രവർത്തനരഹിതമാക്കുന്നതിന് റിലീസ് ശ്രദ്ധേയമാണ്.

"ssh-rsa" സിഗ്നേച്ചറുകൾക്കുള്ള പിന്തുണ നിർത്തുന്നത്, നൽകിയിരിക്കുന്ന പ്രിഫിക്‌സ് ഉപയോഗിച്ചുള്ള കൂട്ടിയിടി ആക്രമണങ്ങളുടെ വർദ്ധിച്ച കാര്യക്ഷമത മൂലമാണ് (ഒരു കൂട്ടിയിടി തിരഞ്ഞെടുക്കുന്നതിനുള്ള ചെലവ് ഏകദേശം $50 ആയിരം ആയി കണക്കാക്കുന്നു). നിങ്ങളുടെ സിസ്റ്റങ്ങളിൽ ssh-rsa ഉപയോഗം പരിശോധിക്കുന്നതിന്, "-oHostKeyAlgorithms=-ssh-rsa" ഓപ്ഷൻ ഉപയോഗിച്ച് നിങ്ങൾക്ക് ssh വഴി കണക്റ്റുചെയ്യാൻ ശ്രമിക്കാം. OpenSSH 256 മുതൽ പിന്തുണയ്ക്കുന്ന SHA-512, SHA-2 ഹാഷുകൾ (rsa-sha256-512/7.2) ഉള്ള RSA സിഗ്നേച്ചറുകൾക്കുള്ള പിന്തുണ മാറ്റമില്ലാതെ തുടരുന്നു.

മിക്ക സാഹചര്യങ്ങളിലും, “ssh-rsa”-നുള്ള പിന്തുണ നിർത്തുന്നതിന് ഉപയോക്താക്കളിൽ നിന്ന് സ്വമേധയാലുള്ള പ്രവർത്തനങ്ങളൊന്നും ആവശ്യമില്ല, കാരണം OpenSSH മുമ്പ് സ്ഥിരസ്ഥിതിയായി അപ്‌ഡേറ്റ് ഹോസ്റ്റ്കീസ് ​​ക്രമീകരണം പ്രവർത്തനക്ഷമമാക്കിയിരുന്നു, ഇത് ക്ലയന്റുകളെ കൂടുതൽ വിശ്വസനീയമായ അൽഗോരിതങ്ങളിലേക്ക് സ്വയമേവ മൈഗ്രേറ്റ് ചെയ്യുന്നു. മൈഗ്രേഷനായി, പ്രോട്ടോക്കോൾ വിപുലീകരണം "[ഇമെയിൽ പരിരക്ഷിച്ചിരിക്കുന്നു]", പ്രാമാണീകരണത്തിന് ശേഷം, ലഭ്യമായ എല്ലാ ഹോസ്റ്റ് കീകളെക്കുറിച്ചും ക്ലയന്റിനെ അറിയിക്കാൻ സെർവറിനെ അനുവദിക്കുന്നു. ക്ലയന്റ് വശത്തുള്ള OpenSSH-ന്റെ വളരെ പഴയ പതിപ്പുകളുള്ള ഹോസ്റ്റുകളിലേക്ക് കണക്റ്റുചെയ്യുന്ന സാഹചര്യത്തിൽ, ~/.ssh/config: Host old_hostname HostkeyAlgorithms +ssh-rsa PubkeyAcceptedAlgorithms + എന്നതിലേക്ക് ചേർത്ത് “ssh-rsa” സിഗ്നേച്ചറുകൾ ഉപയോഗിക്കാനുള്ള കഴിവ് നിങ്ങൾക്ക് തിരഞ്ഞെടുത്ത് തിരികെ നൽകാം. ssh-rsa

AuthorizedKeysCommand, AuthorizedPrincipalsCommand നിർദ്ദേശങ്ങൾ എന്നിവയിൽ വ്യക്തമാക്കിയിട്ടുള്ള കമാൻഡുകൾ പ്രവർത്തിപ്പിക്കുമ്പോൾ ഉപയോക്തൃ ഗ്രൂപ്പ് ശരിയായി ആരംഭിക്കാത്ത, OpenSSH 6.2 മുതൽ ആരംഭിക്കുന്ന sshd മൂലമുണ്ടാകുന്ന ഒരു സുരക്ഷാ പ്രശ്‌നവും പുതിയ പതിപ്പ് പരിഹരിക്കുന്നു. ഈ നിർദ്ദേശങ്ങൾ മറ്റൊരു ഉപയോക്താവിന്റെ കീഴിൽ കമാൻഡുകൾ പ്രവർത്തിപ്പിക്കാൻ അനുവദിക്കേണ്ടതായിരുന്നു, എന്നാൽ വാസ്തവത്തിൽ അവ sshd പ്രവർത്തിപ്പിക്കുമ്പോൾ ഉപയോഗിക്കുന്ന ഗ്രൂപ്പുകളുടെ ലിസ്റ്റ് അവകാശമാക്കി. സാധ്യതയനുസരിച്ച്, ഈ സ്വഭാവം, ചില സിസ്റ്റം ക്രമീകരണങ്ങളുടെ സാന്നിധ്യത്തിൽ, ലോഞ്ച് ഹാൻഡ്‌ലറെ സിസ്റ്റത്തിൽ അധിക പ്രത്യേകാവകാശങ്ങൾ നേടാൻ അനുവദിച്ചു.

ലെഗസി എസ്‌സി‌പി/ആർ‌സി‌പി പ്രോട്ടോക്കോളിന് പകരം എസ്‌എഫ്‌ടിപിയിലേക്ക് എസ്‌സി‌പി ഡിഫോൾട്ട് ആകുമെന്ന മുന്നറിയിപ്പും പുതിയ റിലീസ് നോട്ടിൽ ഉൾപ്പെടുന്നു. SFTP കൂടുതൽ പ്രവചിക്കാവുന്ന നെയിം ഹാൻഡ്‌ലിംഗ് രീതികൾ ഉപയോഗിക്കുന്നു കൂടാതെ മറ്റ് ഹോസ്റ്റിന്റെ വശത്തുള്ള ഫയൽ നാമങ്ങളിൽ ഗ്ലോബ് പാറ്റേണുകളുടെ ഷെൽ പ്രോസസ്സിംഗ് ഉപയോഗിക്കുന്നില്ല, ഇത് സുരക്ഷാ പ്രശ്നങ്ങൾ സൃഷ്ടിക്കുന്നു. പ്രത്യേകിച്ചും, എസ്‌സി‌പിയും ആർ‌സി‌പിയും ഉപയോഗിക്കുമ്പോൾ, ക്ലയന്റിലേക്ക് ഏത് ഫയലുകളും ഡയറക്‌ടറികളും അയയ്‌ക്കണമെന്ന് സെർവർ തീരുമാനിക്കുന്നു, കൂടാതെ ക്ലയന്റ് തിരികെ ലഭിച്ച ഒബ്‌ജക്റ്റ് പേരുകളുടെ കൃത്യത മാത്രമേ പരിശോധിക്കൂ, ക്ലയന്റ് ഭാഗത്ത് ശരിയായ പരിശോധനകളുടെ അഭാവത്തിൽ ഇത് അനുവദിക്കുന്നു അഭ്യർത്ഥിച്ചതിൽ നിന്ന് വ്യത്യസ്തമായ മറ്റ് ഫയൽ പേരുകൾ കൈമാറാൻ സെർവർ. SFTP പ്രോട്ടോക്കോളിന് ഈ പ്രശ്നങ്ങളില്ല, എന്നാൽ "~/" പോലുള്ള പ്രത്യേക പാതകളുടെ വിപുലീകരണത്തെ പിന്തുണയ്ക്കുന്നില്ല. ഈ വ്യത്യാസം പരിഹരിക്കുന്നതിനായി, OpenSSH-ന്റെ മുൻ പതിപ്പ്, SFTP സെർവർ നടപ്പിലാക്കലിലെ ~/, ~user/ പാതകളിലേക്ക് ഒരു പുതിയ SFTP പ്രോട്ടോക്കോൾ എക്സ്റ്റൻഷൻ അവതരിപ്പിച്ചു.

അവലംബം: opennet.ru