sshd-ലെ അപകടസാധ്യത ഇല്ലാതാക്കിക്കൊണ്ട് OpenSSH 8.9-ന്റെ റിലീസ്

ആറ് മാസത്തെ വികസനത്തിന് ശേഷം, SSH 8.9, SFTP പ്രോട്ടോക്കോളുകൾ എന്നിവയിൽ പ്രവർത്തിക്കുന്നതിനുള്ള ഓപ്പൺ ക്ലയന്റും സെർവറും നടപ്പിലാക്കുന്ന OpenSSH 2.0 ന്റെ റിലീസ് അവതരിപ്പിച്ചു. sshd-യുടെ പുതിയ പതിപ്പ് ആധികാരികതയില്ലാത്ത ആക്‌സസ് അനുവദിച്ചേക്കാവുന്ന ഒരു അപകടസാധ്യത പരിഹരിക്കുന്നു. പ്രാമാണീകരണ കോഡിലെ ഒരു പൂർണ്ണസംഖ്യ ഓവർഫ്ലോ മൂലമാണ് ഈ പ്രശ്നം ഉണ്ടായത്, എന്നാൽ കോഡിലെ മറ്റ് ലോജിക്കൽ പിശകുകളുമായി സംയോജിച്ച് മാത്രമേ ഇത് പ്രയോജനപ്പെടുത്താൻ കഴിയൂ.

അതിന്റെ നിലവിലെ രൂപത്തിൽ, പ്രിവിലേജ് സെപ്പറേഷൻ മോഡ് പ്രവർത്തനക്ഷമമാക്കുമ്പോൾ ഈ അപകടസാധ്യത പ്രയോജനപ്പെടുത്താൻ കഴിയില്ല, കാരണം പ്രിവിലേജ് സെപ്പറേഷൻ ട്രാക്കിംഗ് കോഡിൽ നടത്തുന്ന പ്രത്യേക പരിശോധനകൾ വഴി അതിന്റെ പ്രകടനത്തെ തടയുന്നു. 2002 മുതൽ OpenSSH 3.2.2 മുതൽ പ്രിവിലേജ് സെപ്പറേഷൻ മോഡ് ഡിഫോൾട്ടായി പ്രവർത്തനക്ഷമമാക്കിയിട്ടുണ്ട്, കൂടാതെ 7.5-ൽ പ്രസിദ്ധീകരിച്ച OpenSSH 2017-ന്റെ റിലീസ് മുതൽ ഇത് നിർബന്ധമാണ്. കൂടാതെ, റിലീസ് 6.5 (2014) മുതൽ ആരംഭിക്കുന്ന OpenSSH-ന്റെ പോർട്ടബിൾ പതിപ്പുകളിൽ, ഇൻറീഗർ ഓവർഫ്ലോ പ്രൊട്ടക്ഷൻ ഫ്ലാഗുകൾ ഉൾപ്പെടുത്തി കംപൈൽ ചെയ്യുന്നതിലൂടെ അപകടസാധ്യത തടയുന്നു.

മറ്റ് മാറ്റങ്ങൾ:

• sshd-ലെ OpenSSH-ന്റെ പോർട്ടബിൾ പതിപ്പ്, MD5 അൽഗോരിതം ഉപയോഗിച്ച് പാസ്‌വേഡുകൾ ഹാഷുചെയ്യുന്നതിനുള്ള നേറ്റീവ് പിന്തുണ നീക്കംചെയ്‌തു (libxcrypt പോലുള്ള ബാഹ്യ ലൈബ്രറികളുമായി ലിങ്ക് ചെയ്യുന്നത് തിരികെ നൽകാൻ അനുവദിക്കുന്നു).
• ssh, sshd, ssh-add, ssh-ഏജൻറ് എന്നിവ ssh-ഏജന്റിലേക്ക് ചേർത്ത കീകളുടെ ഫോർവേഡിംഗും ഉപയോഗവും നിയന്ത്രിക്കുന്നതിന് ഒരു സബ്സിസ്റ്റം നടപ്പിലാക്കുന്നു. ssh-agent-ൽ എങ്ങനെ, എവിടെ കീകൾ ഉപയോഗിക്കാമെന്ന് നിർണ്ണയിക്കുന്ന നിയമങ്ങൾ സജ്ജമാക്കാൻ സബ്സിസ്റ്റം നിങ്ങളെ അനുവദിക്കുന്നു. ഉദാഹരണത്തിന്, ഹോസ്റ്റ് scylla.example.org-ലേക്ക് കണക്‌റ്റ് ചെയ്യുന്ന ഏതൊരു ഉപയോക്താവിനെയും പ്രാമാണീകരിക്കാൻ മാത്രം ഉപയോഗിക്കാവുന്ന ഒരു കീ ചേർക്കാൻ, ഉപയോക്താവ് ഹോസ്റ്റ് cetus.example.org-ലേയ്ക്കും ഉപയോക്താവ് medea ഹോസ്റ്റ് charybdis.example.org-ലേയ്ക്കും ഒരു ഇന്റർമീഡിയറ്റ് ഹോസ്റ്റ് scylla.example.org വഴി തിരിച്ചുവിടുമ്പോൾ, നിങ്ങൾക്ക് ഇനിപ്പറയുന്ന കമാൻഡ് ഉപയോഗിക്കാം: $ ssh-add -h "[ഇമെയിൽ പരിരക്ഷിച്ചിരിക്കുന്നു]» \ -h «scylla.example.org» \ -h «scylla.example.org>[ഇമെയിൽ പരിരക്ഷിച്ചിരിക്കുന്നു]» \ ~/.ssh/id_ed25519
• ssh, sshd എന്നിവയിൽ, KexAlgorithms ലിസ്റ്റിലേക്ക് സ്ഥിരസ്ഥിതിയായി ഒരു ഹൈബ്രിഡ് അൽഗോരിതം ചേർത്തിട്ടുണ്ട്, ഇത് കീ എക്സ്ചേഞ്ച് രീതികൾ തിരഞ്ഞെടുക്കുന്ന ക്രമം നിർണ്ണയിക്കുന്നു.[ഇമെയിൽ പരിരക്ഷിച്ചിരിക്കുന്നു]"(ECDH/x25519 + NTRU പ്രൈം), ക്വാണ്ടം കമ്പ്യൂട്ടറുകളിലെ തിരഞ്ഞെടുക്കലിനെ പ്രതിരോധിക്കും. OpenSSH 8.9-ൽ, ECDH, DH രീതികൾക്കിടയിൽ ഈ ചർച്ചാ രീതി ചേർത്തിട്ടുണ്ട്, എന്നാൽ അടുത്ത പതിപ്പിൽ ഇത് സ്ഥിരസ്ഥിതിയായി പ്രവർത്തനക്ഷമമാക്കാൻ പദ്ധതിയിട്ടിരിക്കുന്നു.
• ssh-keygen, ssh, ssh-agent എന്നിവയ്ക്ക് ബയോമെട്രിക് പ്രാമാണീകരണത്തിനുള്ള കീകൾ ഉൾപ്പെടെ, ഉപകരണ സ്ഥിരീകരണത്തിനായി ഉപയോഗിക്കുന്ന FIDO ടോക്കൺ കീകൾ കൈകാര്യം ചെയ്യൽ മെച്ചപ്പെടുത്തിയിട്ടുണ്ട്.
• അനുവദനീയമായ നാമലിസ്റ്റ് ഫയലിലെ ഉപയോക്തൃനാമങ്ങൾ പരിശോധിക്കുന്നതിനായി ssh-keygen-ലേക്ക് "ssh-keygen -Y match-principals" കമാൻഡ് ചേർത്തു.
• ssh-add, ssh-agent എന്നിവ ssh-agent-ലേക്ക് PIN കോഡ് ഉപയോഗിച്ച് പരിരക്ഷിച്ച FIDO കീകൾ ചേർക്കുന്നതിനുള്ള കഴിവ് നൽകുന്നു (ആധികാരികത ഉറപ്പാക്കുന്ന സമയത്ത് PIN അഭ്യർത്ഥന പ്രദർശിപ്പിക്കും).
• സിഗ്നേച്ചർ ജനറേഷൻ സമയത്ത് ഹാഷിംഗ് അൽഗോരിതം (sha512 അല്ലെങ്കിൽ sha256) തിരഞ്ഞെടുക്കാൻ ssh-keygen അനുവദിക്കുന്നു.
• ssh, sshd എന്നിവയിൽ, പ്രകടനം മെച്ചപ്പെടുത്തുന്നതിന്, നെറ്റ്‌വർക്ക് ഡാറ്റ നേരിട്ട് ഇൻകമിംഗ് പാക്കറ്റുകളുടെ ബഫറിലേക്ക് റീഡ് ചെയ്യുന്നു, സ്റ്റാക്കിലെ ഇന്റർമീഡിയറ്റ് ബഫറിംഗ് ഒഴിവാക്കുന്നു. ലഭിച്ച ഡാറ്റ ഒരു ചാനൽ ബഫറിലേക്ക് നേരിട്ട് സ്ഥാപിക്കുന്നത് സമാനമായ രീതിയിൽ നടപ്പിലാക്കുന്നു.
• ssh-ൽ, ഉപയോഗിക്കാനുള്ള പ്രോട്ടോക്കോൾ എക്സ്റ്റൻഷൻ തിരഞ്ഞെടുക്കുന്നതിനുള്ള കഴിവ് നൽകുന്നതിനായി PubkeyAuthentication നിർദ്ദേശം പിന്തുണയ്ക്കുന്ന പരാമീറ്ററുകളുടെ (അതെ|no|unbound|host-bound) ലിസ്റ്റ് വിപുലീകരിച്ചു.

ഭാവിയിലെ ഒരു റിലീസിൽ, ലെഗസി SCP/RCP പ്രോട്ടോക്കോളിന് പകരം SFTP ഉപയോഗിക്കുന്നതിനായി scp യൂട്ടിലിറ്റിയുടെ ഡിഫോൾട്ട് മാറ്റാൻ ഞങ്ങൾ പദ്ധതിയിടുന്നു. SFTP കൂടുതൽ പ്രവചിക്കാവുന്ന നെയിം ഹാൻഡ്‌ലിംഗ് രീതികൾ ഉപയോഗിക്കുന്നു കൂടാതെ മറ്റ് ഹോസ്റ്റിന്റെ വശത്തുള്ള ഫയൽ നാമങ്ങളിൽ ഗ്ലോബ് പാറ്റേണുകളുടെ ഷെൽ പ്രോസസ്സിംഗ് ഉപയോഗിക്കുന്നില്ല, ഇത് സുരക്ഷാ പ്രശ്നങ്ങൾ സൃഷ്ടിക്കുന്നു. പ്രത്യേകിച്ചും, എസ്‌സി‌പിയും ആർ‌സി‌പിയും ഉപയോഗിക്കുമ്പോൾ, ക്ലയന്റിലേക്ക് ഏത് ഫയലുകളും ഡയറക്‌ടറികളും അയയ്‌ക്കണമെന്ന് സെർവർ തീരുമാനിക്കുന്നു, കൂടാതെ ക്ലയന്റ് തിരികെ ലഭിച്ച ഒബ്‌ജക്റ്റ് പേരുകളുടെ കൃത്യത മാത്രമേ പരിശോധിക്കൂ, ക്ലയന്റ് ഭാഗത്ത് ശരിയായ പരിശോധനകളുടെ അഭാവത്തിൽ ഇത് അനുവദിക്കുന്നു അഭ്യർത്ഥിച്ചതിൽ നിന്ന് വ്യത്യസ്തമായ മറ്റ് ഫയൽ പേരുകൾ കൈമാറാൻ സെർവർ. SFTP പ്രോട്ടോക്കോളിന് ഈ പ്രശ്നങ്ങളില്ല, എന്നാൽ "~/" പോലുള്ള പ്രത്യേക പാതകളുടെ വിപുലീകരണത്തെ പിന്തുണയ്ക്കുന്നില്ല. ഈ വ്യത്യാസം പരിഹരിക്കുന്നതിനായി, OpenSSH-ന്റെ മുൻ പതിപ്പ് SFTP സെർവർ നടപ്പിലാക്കലിലെ ~/, ~user/ പാതകളിലേക്ക് ഒരു പുതിയ SFTP പ്രോട്ടോക്കോൾ എക്സ്റ്റൻഷൻ അവതരിപ്പിച്ചു.

അവലംബം: opennet.ru