{"id":101069,"date":"2021-08-20T22:22:44","date_gmt":"2021-08-20T20:22:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-openssh-8-7"},"modified":"2021-08-20T22:22:44","modified_gmt":"2021-08-20T20:22:44","slug":"reliz-openssh-8-7","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/reliz-openssh-8-7","title":{"rendered":"Vrijgave van OpenSSH 8.7","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Na vier maanden ontwikkeling is de release van OpenSSH 8.7 gepresenteerd, een open implementatie van een client en server voor het werken met de SSH 2.0 en SFTP protocollen. <\/p>\n
Belangrijkste wijzigingen: <\/p>\n
\n
In scp is toegevoegd een experimentele modus voor gegevensoverdracht met behulp van het SFTP-protocol in plaats van het traditioneel gebruikte SCP\/RCP-protocol. SFTP hanteert meer voorspelbare methoden voor naamverwerking en maakt geen gebruik van glob-patronen via een shell aan de kant van de andere host, wat beveiligingsproblemen cre\u00ebert. Om SFTP in scp in te schakelen, is de vlag \u2018-s\u2019 voorgesteld, maar in de toekomst is het de bedoeling om naar dit protocol als standaard over te schakelen.\n
In sftp-server zijn extensies van het SFTP-protocol ge\u00efmplementeerd voor het blootleggen van paden ~\/ en ~user\/, wat nodig is voor scp.\n
In de scp-tool is het gedrag bij het kopi\u00ebren van bestanden tussen twee externe hosts (bijvoorbeeld \u2018scp host-a:\/path host-b:\u2019) gewijzigd, zodat dit nu standaard via een tussenliggende lokale host gebeurt, zoals bij het opgeven van de vlag \u2018-3\u2019. Deze aanpak voorkomt dat onnodige referenties naar de eerste host worden verzonden en voorkomt een driedubbele interpretatie van bestandsnamen in de shell (aan de kant van de bron, ontvanger en lokale systeem), en stelt bovendien, bij gebruik van SFTP, alle methoden voor authenticatie in staat om met externe hosts te communiceren, en niet alleen niet-interactieve methoden. Om het oude gedrag te herstellen, is de optie \u2018-R\u2019 toegevoegd.\n
In ssh is de instelling ForkAfterAuthentication toegevoegd, die overeenkomt met de vlag \u2018-f\u2019.\n
In ssh is de instelling StdinNull toegevoegd, die overeenkomt met de vlag \u2018-n\u2019.\n
In ssh is de instelling SessionType toegevoegd, waarmee de modi kunnen worden ingesteld die overeenkomen met de vlaggen \u2018-N\u2019 (zonder sessie) en \u2018-s\u2019 (subsystem).\n
In ssh-keygen is het toegestaan om de geldigheidsduur van sleutels aan te geven in bestanden met sleutels.\n
In ssh-keygen is de vlag \u2018-Oprint-pubkey\u2019 toegevoegd voor het weergeven van de volledige openbare sleutel als onderdeel van de sshsig-handtekening.\n
In zowel ssh als sshd, zowel de client als de server, zijn overgestapt op een strengere parser voor het configuratiebestand, waarin regels voor het verwerken van aanhalingstekens, spaties en escape-tekens worden gebruikt die lijken op shell-regels. De nieuwe parser laat ook eerder gemaakte aannames niet meer toe, zoals het overslaan van argumenten in opties (bijvoorbeeld, het is nu niet meer toegestaan om een lege DenyUsers-directive achter te laten), niet-gesloten aanhalingstekens en het aangeven van meerdere \u2018=\u2019 tekens.\n
Bij het gebruik van SSHFP DNS-records voor sleutelverificatie, controleert ssh nu alle overeenkomende records in plaats van alleen de records van een bepaald type digitale handtekening.\n
Bij ssh-keygen wordt bij het genereren van een FIDO-sleutel met de optie -Ochallenge voor hashing nu een ingebouwde laag gebruikt in plaats van de middelen van libfido2, waardoor challenge-sequenties groter of kleiner dan 32 byte kunnen worden gebruikt.\n
In sshd, bij de verwerking van de directive environment=\u2019\u2026\u2019 in de bestanden authorized_keys, wordt nu de eerste overeenkomst aangenomen en geldt er een beperking van 1024 omgevingsvariabelen. <\/ul>\n
De ontwikkelaars van OpenSSH hebben ook gewaarschuwd voor de overgang van algoritmes die gebruik maken van SHA-1-hashes naar de verouderde categorie, vanwege de toenemende effectiviteit van prefix collision-aanvallen (de kosten voor het vinden van een botsing worden geschat op ongeveer 50.000 dollar). In de volgende versie is het gepland om standaard de mogelijkheid om het digitale handtekening-algoritme via een openbare sleutel 'ssh-rsa' te gebruiken, dat in de originele RFC voor het SSH-protocol wordt vermeld en in de praktijk nog steeds veel wordt gebruikt, uit te schakelen. <\/p>\n
Om te controleren of ssh-rsa in je systemen wordt toegepast, kun je proberen verbinding te maken via ssh met de optie '-oHostKeyAlgorithms=-ssh-rsa'. Het standaard uitschakelen van digitale handtekeningen 'ssh-rsa' betekent echter niet een volledige afwijzing van het gebruik van RSA-sleutels, aangezien het SSH-protocol naast SHA-1 ook andere hash-algoritmen toestaat. Concreet blijft naast 'ssh-rsa' de mogelijkheid bestaan om gebruik te maken van de combinaties 'rsa-sha2-256' (RSA\/SHA256) en 'rsa-sha2-512' (RSA\/SHA512). <\/p>\n