OpenSSH 8.0 ထုတ်ဝေမှု

ငါးလကြာမှ ဖွံ့ဖြိုးတိုးတက်လာသည်။ တင်ဆက် လွှတ်ပေး OpenSSH ၈.၂SSH 2.0 နှင့် SFTP ပရိုတိုကောများပေါ်တွင် အလုပ်လုပ်ရန်အတွက် ကလိုင်းယင့်နှင့် ဆာဗာ၏ ပွင့်လင်းသော အကောင်အထည်ဖော်မှုတစ်ခု။

အဓိကပြောင်းလဲမှုများ-

• ကွမ်တမ်ကွန်ပျူတာပေါ်တွင် brute-force တိုက်ခိုက်မှုများကိုခံနိုင်ရည်ရှိသော သော့လဲလှယ်နည်းလမ်းအတွက် စမ်းသပ်ပံ့ပိုးမှုအား ssh နှင့် sshd တွင် ထည့်သွင်းထားပါသည်။ Quantum ကွန်ပျူတာများသည် ခေတ်မီ asymmetric encryption algorithms ကိုအခြေခံပြီး classical processors များတွင် ထိရောက်စွာဖြေရှင်းမရနိုင်သော အဓိကအချက်များအဖြစ် သဘာဝကိန်းများကို ပြိုကွဲစေသည့်ပြဿနာကို ဖြေရှင်းရာတွင် အလွန်မြန်ဆန်ပါသည်။ အဆိုပြုထားသောနည်းလမ်းသည် algorithm ကိုအခြေခံသည်။ NTRU Prime (function ntrup4591761)၊ ကွမ်တမ်လွန် cryptosystems အတွက် တီထွင်ထားခြင်း၊ နှင့် elliptic curve key exchange method X25519;
• sshd တွင်၊ ListenAddress နှင့် PermitOpen လမ်းညွှန်ချက်များသည် IPv2001 နှင့်အလုပ်လုပ်ရလွယ်ကူစေရန် 6 ခုနှစ်တွင်အကောင်အထည်ဖော်ခဲ့သော "host:port" ၏ အစားထိုးမှုအဖြစ် အကောင်အထည်ဖော်ခဲ့သော အမွေအနှစ် "host/port" syntax ကို မပံ့ပိုးတော့ပါ။ ခေတ်သစ်အခြေအနေများတွင်၊ အထားအသို “[:6]:1” ကို IPv22 အတွက် တည်ဆောက်ထားပြီး၊ “host/port” သည် subnet (CIDR) ကိုညွှန်ပြခြင်းနှင့် မကြာခဏ ရောထွေးနေပါသည်။
• ssh၊ ssh-agent နှင့် ssh-add တို့သည် ယခုအခါ ပံ့ပိုးမှုသော့များဖြစ်သည်။ ECDSA PKCS#11 တိုကင်များ၊
• ssh-keygen တွင်၊ NIST အကြံပြုချက်များနှင့်အညီ မူလ RSA သော့အရွယ်အစားကို 3072 ဘစ်အထိ တိုးမြှင့်ထားသည်။
• ssh သည် ssh_config တွင် သတ်မှတ်ထားသော PKCS11Provider ညွှန်ကြားချက်ကို အစားထိုးရန် "PKCS11Provider=none" ဆက်တင်ကို အသုံးပြုခွင့်ပြုသည်။
• sshd သည် sshd_config ရှိ “ForceCommand=internal-sftp” ကန့်သတ်မှုဖြင့် ပိတ်ဆို့ထားသော အမိန့်များကို လုပ်ဆောင်ရန် ကြိုးပမ်းသောအခါ ချိတ်ဆက်မှုကို ရပ်ဆိုင်းလိုက်သည့်အခါ အခြေအနေများကို မှတ်တမ်းပြသပေးပါသည်။
• ssh တွင်၊ host key အသစ်တစ်ခုလက်ခံမှုကိုအတည်ပြုရန်တောင်းဆိုချက်တစ်ခုကိုပြသသောအခါ၊ "yes" တုံ့ပြန်မှုအစား၊ သော့၏မှန်ကန်သောလက်ဗွေကိုယခုလက်ခံလိုက်ပြီဖြစ်သည် (ချိတ်ဆက်မှုကိုအတည်ပြုရန်ဖိတ်ကြားချက်ကိုတုံ့ပြန်သည့်အနေဖြင့်အသုံးပြုသူမှကူးယူနိုင်သည်။ ၎င်းကို ကိုယ်တိုင်မနှိုင်းယှဥ်ရန် ကလစ်ဘုတ်မှတစ်ဆင့် သီးခြားစီရရှိထားသော အကိုးအကား hash)၊
• ssh-keygen သည် command line ပေါ်ရှိ လက်မှတ်များစွာအတွက် ဒစ်ဂျစ်တယ်လက်မှတ်များကို ဖန်တီးသည့်အခါ အသိအမှတ်ပြုလက်မှတ် အတွဲလိုက်နံပါတ်ကို အလိုအလျောက် တိုးပေးပါသည်။
• ရွေးချယ်မှုအသစ် "-J" ကို ProxyJump ဆက်တင်နှင့် ညီမျှသော scp နှင့် sftp သို့ ပေါင်းထည့်ထားပါသည်။
• ssh-agent၊ ssh-pkcs11-helper နှင့် ssh-add တွင်၊ output ၏ အချက်အလက်အကြောင်းအရာကို တိုးမြင့်ရန်အတွက် "-v" command line option ကို လုပ်ဆောင်ခြင်းအား ပေါင်းထည့်လိုက်သည် (သတ်မှတ်သောအခါတွင်၊ ဤရွေးချယ်မှုကို ကလေးလုပ်ငန်းစဉ်များသို့ လွှဲပြောင်းပေးသည်၊ ဥပမာ၊ ssh-pkcs11-helper ကို ssh-agent မှ ခေါ်သောအခါ );
• ဒစ်ဂျစ်တယ် လက်မှတ်ဖန်တီးမှုနှင့် အတည်ပြုခြင်းဆိုင်ရာ လုပ်ဆောင်ချက်များကို လုပ်ဆောင်ရန်အတွက် ssh-agent ရှိ သော့များ၏ သင့်လျော်မှုကို စမ်းသပ်ရန်အတွက် “-T” ရွေးချယ်မှုကို ssh-add တွင် ထည့်သွင်းထားသည်။
• sftp-ဆာဗာသည် SFTP အတွက် SSH2_FXP_SETSTAT လုပ်ဆောင်ချက်အတွက် ပံ့ပိုးမှုထပ်လောင်းပေးသည့် “lsetstat at openssh.com” ပရိုတိုကော တိုးချဲ့မှုအတွက် ပံ့ပိုးမှုကို ဆောင်ရွက်ပေးသည်၊ သို့သော် သင်္ကေတလင့်ခ်များကို လိုက်နာခြင်းမရှိဘဲ၊
• သင်္ကေတလင့်ခ်များကိုအသုံးမပြုသောတောင်းဆိုမှုများနှင့်အတူ chown/chgrp/chmod commands များကို run ရန် "-h" option ကို sftp တွင်ထည့်သွင်းထားသည်။
• sshd သည် PAM အတွက် $SSH_CONNECTION ပတ်၀န်းကျင် ပြောင်းလဲနိုင်သော ဆက်တင်ကို ပံ့ပိုးပေးသည်။
• sshd အတွက်၊ "Match canonical" နှင့် ဆင်တူသည့် "Match final" matching mode ကို ssh_config သို့ ပေါင်းထည့်ထားပြီး၊ သို့သော် hostname ကို ပုံမှန်ပြုလုပ်ရန် မလိုအပ်ပါ။
• အသုတ်မုဒ်တွင် လုပ်ဆောင်ခဲ့သော ညွှန်ကြားချက်များ၏ အထွက်ကို ဘာသာပြန်ဆိုခြင်းကို ပိတ်ရန် '@' ရှေ့ဆက်ကို sftp အတွက် ပံ့ပိုးမှု ပေါင်းထည့်ထားသည်။
• အမိန့်ကို အသုံးပြု၍ လက်မှတ်တစ်ခု၏ အကြောင်းအရာများကို သင်ပြသသောအခါ
  "ssh-keygen -Lf /path/certificate" သည် ယခုအခါ လက်မှတ်ကို တရားဝင်အောင်ပြုလုပ်ရန် CA မှ အသုံးပြုသည့် အယ်လဂိုရီသမ်ကို ပြသသည်။

• အုပ်စုနှင့်အသုံးပြုသူအမည်များကို case-insensitive နှိုင်းယှဉ်မှုကို ပံ့ပိုးပေးသည့် ဥပမာ Cygwin ပတ်ဝန်းကျင်အတွက် ပိုမိုကောင်းမွန်သောပံ့ပိုးမှု။ Microsoft မှပံ့ပိုးပေးထားသော OpenSSH port ကိုအနှောင့်အယှက်မဖြစ်စေရန် Cygwin port ရှိ sshd လုပ်ငန်းစဉ်ကို cygsshd သို့ပြောင်းထားသည်။
• စမ်းသပ်ဆဲ OpenSSL 3.x ဌာနခွဲဖြင့် တည်ဆောက်နိုင်စွမ်းကို ပေါင်းထည့်ခဲ့သည်။
• ဖယ်ထုတ်ခံရတယ်။ အားနည်းချက် (CVE-2019-6111) သည် တိုက်ခိုက်သူထိန်းချုပ်ထားသောဆာဗာကိုဝင်ရောက်သည့်အခါတွင် ပစ်မှတ်လမ်းညွှန်ရှိ မထင်မှတ်ထားသောဖိုင်များကို ကလိုင်းယင့်ဘက်ခြမ်းတွင် overwrite လုပ်ခွင့်ပြုသည့် scp utility ကိုအကောင်အထည်ဖော်မှုတွင် (CVE-XNUMX-XNUMX)။ ပြဿနာမှာ scp ကိုအသုံးပြုသောအခါတွင်၊ ဆာဗာသည် client ထံသို့ မည်သည့်ဖိုင်များနှင့် လမ်းညွှန်ချက်များကို ပေးပို့ရန် ဆုံးဖြတ်ပြီး client သည် ပြန်ပေးထားသော အရာဝတ္ထုအမည်များ၏ မှန်ကန်မှုကိုသာ စစ်ဆေးသည်။ Client-side checking သည် လက်ရှိ directory (“../”) ကိုကျော်လွန်၍ ခရီးသွားခြင်းကို ပိတ်ဆို့ထားရုံမျှသာဖြစ်သော်လည်း မူလတောင်းဆိုထားသူများနှင့် မတူသောအမည်များဖြင့် ဖိုင်များလွှဲပြောင်းခြင်းကို ထည့်သွင်းစဉ်းစားမည်မဟုတ်ပါ။ ထပ်ခါတလဲလဲ ကူးယူခြင်း (-r) တွင်၊ ဖိုင်အမည်များအပြင်၊ သင်လည်း အလားတူနည်းဖြင့် လမ်းညွှန်ဖိုင်ခွဲများ၏ အမည်များကို စီမံခန့်ခွဲနိုင်သည်။ ဥပမာအားဖြင့်၊ အသုံးပြုသူသည် ဖိုင်များကို home directory သို့ ကူးယူပါက၊ တိုက်ခိုက်သူ ထိန်းချုပ်ထားသော ဆာဗာသည် တောင်းဆိုထားသော ဖိုင်များအစား .bash_aliases သို့မဟုတ် .ssh/authorized_keys အမည်များဖြင့် ဖိုင်များကို ထုတ်လုပ်နိုင်ပြီး ၎င်းတို့ကို အသုံးပြုသူ၏ scp utility မှ သိမ်းဆည်းမည်ဖြစ်သည်။ အိမ်လမ်းညွှန်။

  ထုတ်ဝေမှုအသစ်တွင်၊ တောင်းဆိုထားသောဖိုင်အမည်များနှင့် ဆာဗာမှပေးပို့သောစာများကြားတွင် စာပေးစာယူကို စစ်ဆေးရန်အတွက် scp utility ကို အပ်ဒိတ်လုပ်ထားပါသည်။ ဆာဗာနှင့် ကလိုင်းယင့်ဘက်များတွင် ကွဲပြားစွာလုပ်ဆောင်နိုင်သောကြောင့် မျက်နှာဖုံးချဲ့ခြင်းစာလုံးများကို ကွဲပြားစွာလုပ်ဆောင်နိုင်သောကြောင့် ၎င်းသည် မျက်နှာဖုံးလုပ်ဆောင်ခြင်းတွင် ပြဿနာများဖြစ်စေနိုင်သည်။ ထိုသို့သောကွဲပြားမှုများကြောင့် client သည် scp တွင်ဖိုင်များကိုလက်ခံခြင်းကိုရပ်တန့်စေသောအခါတွင်၊ client-side checking ကိုပိတ်ရန်အတွက် "-T" option ကိုထည့်သွင်းထားသည်။ ပြဿနာကို အပြည့်အဝပြုပြင်ရန်၊ scp ပရိုတိုကော၏ အယူအဆဆိုင်ရာ ပြန်လည်ပြင်ဆင်မှု လိုအပ်ပြီး ၎င်းကိုယ်တိုင် ခေတ်နောက်ကျနေပြီဖြစ်သောကြောင့် ၎င်းအစား sftp နှင့် rsync ကဲ့သို့သော ခေတ်မီပရိုတိုကောများကို ပိုမိုအသုံးပြုရန် အကြံပြုအပ်ပါသည်။

source: opennet.ru