OpenSSH 10.1 ਰੀਲੀਜ਼

OpenSSH 10.1 ਦੀ ਰੀਲੀਜ਼ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤੀ ਗਈ ਹੈ, SSH 2.0 ਅਤੇ SFTP ਪ੍ਰੋਟੋਕੋਲ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕੰਮ ਕਰਨ ਲਈ ਇੱਕ ਕਲਾਇੰਟ ਅਤੇ ਸਰਵਰ ਦੀ ਇੱਕ ਖੁੱਲੀ ਸਥਾਪਨਾ।

ਮੁੱਖ ਬਦਲਾਅ:

• ਇੱਕ ਸੁਰੱਖਿਆ ਮੁੱਦਾ ਹੱਲ ਕੀਤਾ ਗਿਆ ਹੈ ਜੋ ਇੱਕ ਹਮਲਾਵਰ ਨੂੰ "ProxyCommand" ਸੈਟਿੰਗ ਦੁਆਰਾ ਨਿਰਧਾਰਤ ਕਮਾਂਡ ਚਲਾਉਣ ਵੇਲੇ ਅਤੇ "%u" ਪ੍ਰਤੀਸਥਾਪਨ ਰੱਖਣ ਵੇਲੇ ਇੱਕ ਉਪਭੋਗਤਾ ਨਾਮ ਜਾਂ URI ਵਿੱਚ ਵਿਸ਼ੇਸ਼ ਅੱਖਰਾਂ ਨੂੰ ਹੇਰਾਫੇਰੀ ਕਰਕੇ ਸ਼ੈੱਲ ਕਮਾਂਡ ਬਦਲੀ ਕਰਨ ਦੀ ਆਗਿਆ ਦੇ ਸਕਦਾ ਹੈ। ਇਹ ਮੁੱਦਾ ਸਿਰਫ਼ ਉਹਨਾਂ ਸਿਸਟਮਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦਾ ਹੈ ਜੋ ssh ਚਲਾਉਂਦੇ ਸਮੇਂ ਗੈਰ-ਭਰੋਸੇਯੋਗ ਸਰੋਤਾਂ ਤੋਂ ਪ੍ਰਾਪਤ ਉਪਭੋਗਤਾ ਨਾਮਾਂ ਜਾਂ URIs ਨੂੰ ਬਦਲਣ ਦੀ ਆਗਿਆ ਦਿੰਦੇ ਹਨ।

  ਅਜਿਹੇ ਹਮਲਿਆਂ ਨੂੰ ਰੋਕਣ ਲਈ, ਕਮਾਂਡ ਲਾਈਨ 'ਤੇ ਦਰਸਾਏ ਗਏ ਉਪਭੋਗਤਾ ਨਾਮਾਂ ਵਿੱਚ ਕੰਟਰੋਲ ਅੱਖਰਾਂ ਦੀ ਵਰਤੋਂ ਜਾਂ % ਕ੍ਰਮ ਰਾਹੀਂ ਸੈਟਿੰਗਾਂ ਵਿੱਚ ਬਦਲੀ ਕਰਨ ਦੀ ਮਨਾਹੀ ਹੈ। ssh:// URI ਵਿੱਚ ਨਲ ਅੱਖਰ ("\0") ਦੀ ਵਰਤੋਂ ਵੀ ਵਰਜਿਤ ਹੈ। ਇੱਕ ਅਪਵਾਦ ਸਿਰਫ਼ ਸੰਰਚਨਾ ਫਾਈਲ ਵਿੱਚ ਦਰਸਾਏ ਗਏ ਉਪਭੋਗਤਾ ਨਾਮਾਂ ਲਈ ਕੀਤਾ ਜਾਂਦਾ ਹੈ (ਇਹ ਮੰਨ ਕੇ ਕਿ ਸੰਰਚਨਾ ਫਾਈਲ ਵਿੱਚ ਡੇਟਾ ਭਰੋਸੇਯੋਗ ਹੈ)।
• ssh ਅਤੇ ssh-agent ਸਹੂਲਤਾਂ ਹੁਣ PKCS#11 ਟੋਕਨਾਂ ਵਿੱਚ ਸਟੋਰ ਕੀਤੀਆਂ ed25519 ਕੁੰਜੀਆਂ ਦਾ ਸਮਰਥਨ ਕਰਦੀਆਂ ਹਨ।
• RefuseConnection ਸੈਟਿੰਗ ਨੂੰ ssh_config ਸੰਰਚਨਾ ਫਾਈਲ ਵਿੱਚ ਜੋੜਿਆ ਗਿਆ ਹੈ। ਜਦੋਂ ਕਿਰਿਆਸ਼ੀਲ ਭਾਗ ਵਿੱਚ ਪ੍ਰਕਿਰਿਆ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਤਾਂ ਇਹ ਕਨੈਕਸ਼ਨ ਸਥਾਪਤ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕੀਤੇ ਬਿਨਾਂ ਇੱਕ ਗਲਤੀ ਸੁਨੇਹੇ ਨਾਲ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਖਤਮ ਕਰ ਦਿੰਦਾ ਹੈ। ਹੋਸਟ foo RefuseConnection ਨਾਲ ਮੇਲ ਕਰੋ "ਹੋਸਟ foo ਹੁਣ ਵਰਤੋਂ ਵਿੱਚ ਨਹੀਂ ਹੈ, ਹੋਸਟ ਬਾਰ ਨਾਲ ਜੁੜੋ।"
• SIGINFO ਸਿਗਨਲ ਹੈਂਡਲਰਾਂ ਨੂੰ ssh ਅਤੇ sshd ਵਿੱਚ ਸ਼ੈਸ਼ਨ ਅਤੇ ਐਕਟਿਵ ਚੈਨਲ ਜਾਣਕਾਰੀ ਨੂੰ ਲਾਗ ਕਰਨ ਲਈ ਜੋੜਿਆ ਗਿਆ ਹੈ।
• ਸਰਟੀਫਿਕੇਟ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਉਪਭੋਗਤਾ ਪ੍ਰਮਾਣੀਕਰਨ ਅਸਵੀਕਾਰ ਹੋਣ ਦੀ ਸਥਿਤੀ ਵਿੱਚ, sshd ਇਹ ਯਕੀਨੀ ਬਣਾਉਂਦਾ ਹੈ ਕਿ ਨਾ ਸਿਰਫ਼ ਲੌਗਇਨ ਬਲਾਕ ਦਾ ਕਾਰਨ ਲੌਗ ਕੀਤਾ ਗਿਆ ਹੈ, ਸਗੋਂ ਸਮੱਸਿਆ ਵਾਲੇ ਸਰਟੀਫਿਕੇਟ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ ਵਿਆਪਕ ਜਾਣਕਾਰੀ ਵੀ ਹੈ।
• sshd ਨੇ X11DisplayOffset ਡਾਇਰੈਕਟਿਵ ਵਿੱਚ ਦਰਸਾਏ ਗਏ ਆਫਸੈੱਟ ਦੇ ਅਨੁਸਾਰ X11 ਡਿਸਪਲੇਅ ਨੰਬਰ ਲਈ ਇੱਕ ਚੈੱਕ ਜੋੜਿਆ ਹੈ।
• ਯੂਨਿਟ ਟੈਸਟ ਸੂਟ ਵਿੱਚ ਹੁਣ ਪ੍ਰਦਰਸ਼ਨ ਮਾਪਣ ਸਮਰੱਥਾਵਾਂ ਸ਼ਾਮਲ ਹਨ, ਜੋ ਕਿ OpenBSD 'ਤੇ "make UNITTEST_BENCHMARK=yes" ਜਾਂ ਹੋਰ ਸਿਸਟਮਾਂ 'ਤੇ "make unit-bench" ਚਲਾ ਕੇ ਸਮਰੱਥ ਹਨ।

ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਪਿੱਛੇ ਵੱਲ ਅਨੁਕੂਲਤਾ ਤਬਦੀਲੀਆਂ ਨੂੰ ਤੋੜਨਾ:

• ssh ਵਿੱਚ ਇੱਕ ਚੇਤਾਵਨੀ ਜੋੜੀ ਗਈ ਹੈ ਜਦੋਂ ਇੱਕ ਮੁੱਖ ਸਮਝੌਤਾ ਐਲਗੋਰਿਦਮ ਜੋ ਕਿ ਕੁਆਂਟਮ ਕੰਪਿਊਟਰ 'ਤੇ ਬਰੂਟ-ਫੋਰਸ ਹਮਲਿਆਂ ਪ੍ਰਤੀ ਰੋਧਕ ਨਹੀਂ ਹੈ, ਕਨੈਕਸ਼ਨ ਸਥਾਪਨਾ ਦੌਰਾਨ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ। ਇਹ ਚੇਤਾਵਨੀ ਪਹਿਲਾਂ ਸੁਰੱਖਿਅਤ ਕੀਤੇ ਟ੍ਰੈਫਿਕ ਡੰਪਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਭਵਿੱਖ ਵਿੱਚ ਹਮਲਿਆਂ ਦੇ ਜੋਖਮ ਦੇ ਕਾਰਨ ਜੋੜੀ ਗਈ ਸੀ। ਚੇਤਾਵਨੀ ਨੂੰ ਅਯੋਗ ਕਰਨ ਲਈ, WarnWeakCrypto ਵਿਕਲਪ ਨੂੰ ssh_config ਵਿੱਚ ਜੋੜਿਆ ਗਿਆ ਹੈ। ਮੈਚ ਹੋਸਟ unsafe.example.com WarnWeakCrypto ਨੰ.
• DSCP (ਡਾਇਰੈਕਸ਼ਨਲ ਮੈਸੇਜ ਕੋਡ) ਕੁਆਲਿਟੀ ਆਫ਼ ਸਰਵਿਸ (IPQoS) ਪੈਰਾਮੀਟਰਾਂ ਦੀ ਹੈਂਡਲਿੰਗ ਨੂੰ ssh ਅਤੇ sshd ਵਿੱਚ ਕਾਫ਼ੀ ਸੋਧਿਆ ਗਿਆ ਹੈ। ਇੰਟਰਐਕਟਿਵ ਟ੍ਰੈਫਿਕ ਹੁਣ ਵਾਇਰਲੈੱਸ ਨੈੱਟਵਰਕਾਂ 'ਤੇ ਉੱਚ ਤਰਜੀਹੀ ਪ੍ਰੋਸੈਸਿੰਗ ਲਈ ਡਿਫਾਲਟ ਰੂਪ ਵਿੱਚ EF (ਐਕਸਪੀਡੀਟਿਡ ਫਾਰਵਰਡਿੰਗ) ਕਲਾਸ 'ਤੇ ਸੈੱਟ ਕੀਤਾ ਗਿਆ ਹੈ। ਗੈਰ-ਇੰਟਰਐਕਟਿਵ ਟ੍ਰੈਫਿਕ ਹੁਣ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਦੀ ਡਿਫਾਲਟ ਕਲਾਸ 'ਤੇ ਸੈੱਟ ਕੀਤਾ ਗਿਆ ਹੈ। ਟ੍ਰੈਫਿਕ ਕਲਾਸ ਨੂੰ ssh_config ਅਤੇ sshd_config ਵਿੱਚ IPQoS ਸੈਟਿੰਗ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਬਦਲਿਆ ਜਾ ਸਕਦਾ ਹੈ। IPQoS ਡਾਇਰੈਕਟਿਵ ਵਿੱਚ IPv4 ToS (ਟਾਈਪ-ਆਫ-ਸਰਵਿਸ) ਪੈਰਾਮੀਟਰਾਂ ਨੂੰ ਬਰਤਰਫ਼ ਕਰ ਦਿੱਤਾ ਗਿਆ ਹੈ (DSCP ਨੇ ToS ਨੂੰ ਬਦਲ ਦਿੱਤਾ ਹੈ)।
• ਜਦੋਂ ssh-add ਵਿੱਚ ਇੱਕ ਸਰਟੀਫਿਕੇਟ ਜੋੜਿਆ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਸਰਟੀਫਿਕੇਟ ਦਾ ਜੀਵਨ ਕਾਲ ਹੁਣ ਸਰਟੀਫਿਕੇਟ ਦੀ ਵੈਧਤਾ ਮਿਆਦ ਤੋਂ 5 ਮਿੰਟ ਲੰਬੇ ਮੁੱਲ 'ਤੇ ਸੈੱਟ ਕੀਤਾ ਜਾਂਦਾ ਹੈ (ਮਿਆਦ ਪੁੱਗ ਚੁੱਕੇ ਸਰਟੀਫਿਕੇਟਾਂ ਨੂੰ ਆਪਣੇ ਆਪ ਹਟਾਉਣ ਲਈ)। ਇਸ ਵਿਵਹਾਰ ਨੂੰ ਅਯੋਗ ਕਰਨ ਲਈ, "-N" ਵਿਕਲਪ ਨੂੰ ssh-add ਵਿੱਚ ਜੋੜਿਆ ਗਿਆ ਹੈ।
• XMSS ਕੁੰਜੀਆਂ ਲਈ ਸਮਰਥਨ ਹਟਾ ਦਿੱਤਾ ਗਿਆ ਹੈ, ਜਿਸਨੂੰ ਪ੍ਰਯੋਗਾਤਮਕ ਵਜੋਂ ਚਿੰਨ੍ਹਿਤ ਕੀਤਾ ਗਿਆ ਸੀ ਅਤੇ ਕਦੇ ਵੀ ਡਿਫੌਲਟ ਰੂਪ ਵਿੱਚ ਸਮਰੱਥ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਸੀ।
• ssh-agent ਅਤੇ sshd ਪ੍ਰਕਿਰਿਆਵਾਂ ਦੁਆਰਾ ਬਣਾਏ ਗਏ ਯੂਨਿਕਸ ਸਾਕਟਾਂ ਨੂੰ /tmp ਤੋਂ ~/.ssh/agent ਵਿੱਚ ਤਬਦੀਲ ਕਰ ਦਿੱਤਾ ਗਿਆ ਹੈ, ਇਹ ਯਕੀਨੀ ਬਣਾਉਂਦੇ ਹੋਏ ਕਿ ਆਈਸੋਲੇਟਡ ਪ੍ਰਕਿਰਿਆਵਾਂ ਜਿਨ੍ਹਾਂ ਕੋਲ ਫਾਈਲ ਸਿਸਟਮ ਪਹੁੰਚ ਸੀਮਤ ਹੈ ਪਰ /tmp ਤੱਕ ਖੁੱਲ੍ਹੀ ਪਹੁੰਚ ਹੈ, ਇਹਨਾਂ ਸਾਕਟਾਂ ਤੱਕ ਨਹੀਂ ਪਹੁੰਚ ਸਕਦੀਆਂ।

ਭਵਿੱਖ ਦੀਆਂ ਰਿਲੀਜ਼ਾਂ ਵਿੱਚ, SHA1 ਹੈਸ਼ ਫੰਕਸ਼ਨ ਨਾਲ ਸੁਰੱਖਿਆ ਸਮੱਸਿਆਵਾਂ ਦੇ ਕਾਰਨ SHA1 SSHFP DNS ਰਿਕਾਰਡਾਂ ਨੂੰ ਨਾਪਸੰਦ ਕੀਤਾ ਜਾਵੇਗਾ। ਇਹਨਾਂ ਰਿਕਾਰਡਾਂ ਨੂੰ ਅਣਡਿੱਠਾ ਕਰ ਦਿੱਤਾ ਜਾਵੇਗਾ, ਅਤੇ "ssh-keygen -r" ਕਮਾਂਡ ਸਿਰਫ਼ SHA256 SSHFP ਰਿਕਾਰਡ ਤਿਆਰ ਕਰੇਗੀ।

ਸਰੋਤ: opennet.ru