De release van OpenSSH 10.1 is gepubliceerd, een open-source implementatie van client en server voor het werken met de SSH 2.0- en SFTP-protocollen. <\/p>\n
Belangrijkste wijzigingen: <\/p>\n
\n
Er is een beveiligingsprobleem verholpen waardoor een aanvaller shell-opdrachten kon invoegen via manipulatie van speciale tekens in de gebruikersnaam of URI, die uitgevoerd konden worden bij het uitvoeren van de opdracht gespecificeerd in de 'ProxyCommand'-instelling en die het substitutiepatroon '%u' bevatte. Het probleem doet zich alleen voor op systemen die bij het starten van ssh gebruikersnamen of URI's uit onbetrouwbare bronnen accepteren.\n
Om dergelijke aanvallen te voorkomen, is het gebruik van controlekarakters in gebruikersnamen die bij de opstart in de opdrachtregel worden gespecificeerd of die in instellingen via %-sequenties worden vervangen, verboden. Ook is het gebruik van het null- teken ('') in ssh:\/\/ URI's verboden. Uitzondering wordt alleen gemaakt voor namen die in het configuratiebestand zijn opgegeven (ervan uitgaande dat deze configuratiegegevens betrouwbaar zijn). <\/p>\n
In de ssh- en ssh-agent-tools is ondersteuning toegevoegd voor ed25519-sleutels die zijn opgeslagen in PKCS#11-tokens.\n
De instelling RefuseConnection is toegevoegd aan het ssh_config-configuratiebestand, waarvan de verwerking in de actieve sectie het be\u00ebindigen van het proces zonder poging tot verbinding op basis van een foutmelding omvat. Match host foo RefuseConnection 'host foo is niet meer in gebruik, maak verbinding met host bar'\n
In ssh en sshd zijn signal handlers voor SIGINFO toegevoegd voor het loggen van sessie-informatie en actieve kanalen.\n
In sshd, in het geval dat de authenticatie van een gebruiker via een certificaat wordt afgewezen, wordt er niet alleen een logentry over de reden van het blokkeren van de toegang weergegeven, maar ook uitgebreide informatie voor het identificeren van het problematische certificaat.\n
In sshd is een controle van het X11-displaynummer toegevoegd, met betrekking tot de offset die is opgegeven in de X11DisplayOffset-directive.\n
In de eenheidsproefset zijn prestatiemetingmogelijkheden toegevoegd die worden geactiveerd bij het uitvoeren van 'make UNITTEST_BENCHMARK=yes' in OpenBSD of 'make unit-bench' in andere systemen. <\/ul>\n
Veranderingen die potentieel de achterwaartse compatibiliteit kunnen schaden: <\/p>\n
\n
In SSH is added a warning output when connecting with the key agreement algorithm that is not resistant to brute force attacks by quantum computers. The warning is added due to the risk of attacks in the future using previously saved traffic dumps. To disable the warning, the WarnWeakCrypto option has been added in ssh_config. Match host unsafe.example.com WarnWeakCrypto no\n
In SSH and SSHD, the processing of DSCP (IPQoS) quality of service parameters has been significantly changed. For interactive traffic, the EF (Expedited Forwarding) class is now set by default for priority handling in wireless networks. For non-interactive traffic, the class used in the operating system is set by default. The traffic class can be changed using the IPQoS settings in ssh_config and sshd_config. The ToS (type-of-service) parameters for IPv4 in the IPQoS directive are deprecated (DSCP has replaced ToS).\n
In ssh-add, bij het toevoegen van een certificaat aan de ssh-agent, is ge\u00efmplementeerd dat de levensduur van het certificaat wordt ingesteld op een waarde die 5 minuten langer is dan de geldigheidsduur van het certificaat (om automatisch het verlopen certificaat te verwijderen). Om dit gedrag in ssh-add uit te schakelen, is de optie '-N' toegevoegd.\n
Support for XMSS keys, which was marked experimental and never enabled by default, has been removed.\n
Unix sockets created by the ssh-agent and sshd processes have been moved from the \/tmp directory to ~\/.ssh\/agent, which ensures that access through these sockets from isolated processes with restricted filesystem access, but open access to \/tmp, is not possible. <\/ul>\n