Uitgave van OpenSSH 9.0 met migratie van scp naar het SFTP-protocol

De release van OpenSSH 9.0 is gepresenteerd, een open-source implementatie van een client en server voor de protocollen SSH 2.0 en SFTP. In de nieuwe versie is het hulpprogramma scp standaard overgeschakeld naar het gebruik van SFTP in plaats van het verouderde SCP/RCP-protocol.

In SFTP worden voorspelbaardere methoden voor het verwerken van namen toegepast en wordt de verwerking van glob-sjablonen in bestandsnamen via de shell op de andere host niet gebruikt, wat beveiligingsproblemen creëert. In het bijzonder, bij het gebruik van SCP en RCP, beslist de server welke bestanden en mappen naar de client worden gestuurd, terwijl de client alleen de juistheid van de ontvangen objectnamen controleert, wat in het geval van onvoldoende controles aan de clientzijde kan leiden tot server de overdracht van andere bestandsnamen dan de gevraagde.

Het SFTP-protocol heeft deze problemen niet, maar ondersteunt geen onthulling van speciale paden, zoals '~/'. Om dit verschil op te lossen, wordt vanaf OpenSSH 8.7 de protocolextensie 'expand-path@openssh.com' in de implementatie van de SFTP-server ondersteund voor het onthullen van paden ~/ en ~user/.

Bij het gebruik van SFTP kunnen gebruikers ook incompatibiliteitsproblemen tegenkomen, veroorzaakt door de noodzaak van dubbele escaping van speciale karakters in pad-onthulling in SCP- en RCP-aanvragen, om hun interpretatie aan de remote zijde te voorkomen. In SFTP is dergelijke escaping niet vereist en overbodige aanhalingstekens kunnen leiden tot gegevensoverdrachtsfouten. Desondanks hebben de ontwikkelaars van OpenSSH ervoor gekozen om geen extensie toe te voegen om dit gedrag van scp in dit geval te herhalen, aangezien dubbele escaping wordt beschouwd als een tekortkoming die niet herhaald hoeft te worden.

Andere veranderingen in deze nieuwe release:

• In ssh en sshd is standaard het hybride algoritme voor sleuteluitwisseling 'sntrup761x25519-sha512@openssh.com' ingeschakeld (ECDH/x25519 + NTRU Prime), bestand tegen kraken door kwantumcomputers en gecombineerd met ECDH/x25519 om mogelijke problemen in NTRU Prime, die in de toekomst kunnen opduiken, te blokkeren. In de lijst van KexAlgorithms, die de volgorde van keuze voor sleuteluitwisselingsmethoden bepaalt, staat het genoemde algoritme nu als eerste en heeft het een hogere prioriteit dan de algoritmen ECDH en DH.

  Quantumcomputers hebben nog niet het niveau bereikt waarop ze traditionele sleutels kunnen kraken, maar de toepassing van hybride beveiliging zal gebruikers beschermen tegen aanvallen die verband houden met het opslaan van onderschepte SSH-sessies in de hoop dat ze in de toekomst kunnen worden ontsleuteld wanneer de benodigde quantumcomputers beschikbaar zijn.

• In de sftp-server is de extensie 'copy-data' toegevoegd, waarmee gegevens aan de serverzijde kunnen worden gekopieerd zonder dat deze transitief naar de client worden verzonden, als het bron- en doeldocument zich op hetzelfde systeem bevinden. de server.
• In het sftp-hulpprogramma is de 'cp'-opdracht toegevoegd om het kopiëren van bestanden aan de serverzijde door de client te initiëren.

Bron: opennet.ru