OpenSSH 8.0 ਰੀਲੀਜ਼

ਵਿਕਾਸ ਦੇ ਪੰਜ ਮਹੀਨਿਆਂ ਬਾਅਦ ਪੇਸ਼ ਕੀਤਾ ਜਾਰੀ ਓਪਨ ਐਸਐਸਐਚ 8.0, SSH 2.0 ਅਤੇ SFTP ਪ੍ਰੋਟੋਕੋਲ ਦੁਆਰਾ ਕੰਮ ਕਰਨ ਲਈ ਇੱਕ ਖੁੱਲਾ ਕਲਾਇੰਟ ਅਤੇ ਸਰਵਰ ਲਾਗੂ ਕਰਨਾ।

ਮੁੱਖ ਬਦਲਾਅ:

• ਇੱਕ ਕੁੰਜੀ ਐਕਸਚੇਂਜ ਵਿਧੀ ਲਈ ਪ੍ਰਯੋਗਾਤਮਕ ਸਮਰਥਨ ਜੋ ਕਿ ਕੁਆਂਟਮ ਕੰਪਿਊਟਰ ਉੱਤੇ ਬਰੂਟ-ਫੋਰਸ ਹਮਲਿਆਂ ਪ੍ਰਤੀ ਰੋਧਕ ਹੈ, ਨੂੰ ssh ਅਤੇ sshd ਵਿੱਚ ਜੋੜਿਆ ਗਿਆ ਹੈ। ਕੁਆਂਟਮ ਕੰਪਿਊਟਰ ਇੱਕ ਕੁਦਰਤੀ ਸੰਖਿਆ ਨੂੰ ਪ੍ਰਮੁੱਖ ਕਾਰਕਾਂ ਵਿੱਚ ਵਿਗਾੜਨ ਦੀ ਸਮੱਸਿਆ ਨੂੰ ਹੱਲ ਕਰਨ ਵਿੱਚ ਬਹੁਤ ਤੇਜ਼ ਹੁੰਦੇ ਹਨ, ਜੋ ਕਿ ਆਧੁਨਿਕ ਅਸਮੈਟ੍ਰਿਕ ਐਨਕ੍ਰਿਪਸ਼ਨ ਐਲਗੋਰਿਦਮ ਦੇ ਅਧੀਨ ਹੈ ਅਤੇ ਕਲਾਸੀਕਲ ਪ੍ਰੋਸੈਸਰਾਂ 'ਤੇ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਢੰਗ ਨਾਲ ਹੱਲ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਪ੍ਰਸਤਾਵਿਤ ਵਿਧੀ ਐਲਗੋਰਿਦਮ 'ਤੇ ਅਧਾਰਤ ਹੈ NTRU ਪ੍ਰਧਾਨ (ਫੰਕਸ਼ਨ ntrup4591761), ਪੋਸਟ-ਕੁਆਂਟਮ ਕ੍ਰਿਪਟੋਸਿਸਟਮ ਲਈ ਵਿਕਸਤ ਕੀਤਾ ਗਿਆ ਹੈ, ਅਤੇ ਅੰਡਾਕਾਰ ਕਰਵ ਕੁੰਜੀ ਐਕਸਚੇਂਜ ਵਿਧੀ X25519;
• sshd ਵਿੱਚ, ListenAddress ਅਤੇ PermitOpen ਨਿਰਦੇਸ਼ ਹੁਣ ਵਿਰਾਸਤੀ "ਹੋਸਟ/ਪੋਰਟ" ਸੰਟੈਕਸ ਦਾ ਸਮਰਥਨ ਨਹੀਂ ਕਰਦੇ ਹਨ, ਜੋ ਕਿ 2001 ਵਿੱਚ IPv6 ਨਾਲ ਕੰਮ ਕਰਨਾ ਸੌਖਾ ਬਣਾਉਣ ਲਈ "ਹੋਸਟ:ਪੋਰਟ" ਦੇ ਵਿਕਲਪ ਵਜੋਂ ਲਾਗੂ ਕੀਤਾ ਗਿਆ ਸੀ। ਆਧੁਨਿਕ ਸਥਿਤੀਆਂ ਵਿੱਚ, ਸੰਟੈਕਸ “[::6]:1” IPv22 ਲਈ ਸਥਾਪਿਤ ਕੀਤਾ ਗਿਆ ਹੈ, ਅਤੇ “ਹੋਸਟ/ਪੋਰਟ” ਅਕਸਰ ਸਬਨੈੱਟ (CIDR) ਨੂੰ ਦਰਸਾਉਣ ਵਿੱਚ ਉਲਝਣ ਵਿੱਚ ਹੁੰਦਾ ਹੈ;
• ssh, ssh-agent ਅਤੇ ssh-add ਹੁਣ ਸਪੋਰਟ ਕੁੰਜੀਆਂ ਈਸੀਡੀਐਸਏ PKCS#11 ਟੋਕਨਾਂ ਵਿੱਚ;
• ssh-keygen ਵਿੱਚ, ਡਿਫਾਲਟ RSA ਕੁੰਜੀ ਦਾ ਆਕਾਰ 3072 ਬਿੱਟ ਤੱਕ ਵਧਾ ਦਿੱਤਾ ਗਿਆ ਹੈ, ਨਵੀਆਂ NIST ਸਿਫ਼ਾਰਿਸ਼ਾਂ ਦੇ ਅਨੁਸਾਰ;
• ssh "PKCS11Provider=none" ਸੈਟਿੰਗ ਨੂੰ ssh_config ਵਿੱਚ ਦਰਸਾਏ PKCS11ਪ੍ਰੋਵਾਈਡਰ ਡਾਇਰੈਕਟਿਵ ਨੂੰ ਓਵਰਰਾਈਡ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ;
• sshd ਸਥਿਤੀਆਂ ਦਾ ਇੱਕ ਲਾਗ ਡਿਸਪਲੇ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ ਜਦੋਂ sshd_config ਵਿੱਚ "ForceCommand=internal-sftp" ਪਾਬੰਦੀ ਦੁਆਰਾ ਬਲੌਕ ਕੀਤੀਆਂ ਕਮਾਂਡਾਂ ਨੂੰ ਚਲਾਉਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦੇ ਸਮੇਂ ਕੁਨੈਕਸ਼ਨ ਬੰਦ ਹੋ ਜਾਂਦਾ ਹੈ;
• ssh ਵਿੱਚ, "ਹਾਂ" ਜਵਾਬ ਦੀ ਬਜਾਏ, ਇੱਕ ਨਵੀਂ ਹੋਸਟ ਕੁੰਜੀ ਦੀ ਸਵੀਕ੍ਰਿਤੀ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ ਇੱਕ ਬੇਨਤੀ ਪ੍ਰਦਰਸ਼ਿਤ ਕਰਦੇ ਸਮੇਂ, ਕੁੰਜੀ ਦਾ ਸਹੀ ਫਿੰਗਰਪ੍ਰਿੰਟ ਹੁਣ ਸਵੀਕਾਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ (ਕੁਨੈਕਸ਼ਨ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਦੇ ਸੱਦੇ ਦੇ ਜਵਾਬ ਵਿੱਚ, ਉਪਭੋਗਤਾ ਇਸ ਦੀ ਨਕਲ ਕਰ ਸਕਦਾ ਹੈ। ਕਲਿੱਪਬੋਰਡ ਰਾਹੀਂ ਵੱਖਰੇ ਤੌਰ 'ਤੇ ਸੰਦਰਭ ਹੈਸ਼ ਪ੍ਰਾਪਤ ਕੀਤਾ, ਤਾਂ ਜੋ ਇਸਦੀ ਦਸਤੀ ਤੁਲਨਾ ਨਾ ਕੀਤੀ ਜਾ ਸਕੇ);
• ssh-keygen ਕਮਾਂਡ ਲਾਈਨ 'ਤੇ ਮਲਟੀਪਲ ਸਰਟੀਫਿਕੇਟਾਂ ਲਈ ਡਿਜੀਟਲ ਦਸਤਖਤ ਬਣਾਉਣ ਵੇਲੇ ਸਰਟੀਫਿਕੇਟ ਕ੍ਰਮ ਨੰਬਰ ਦੀ ਸਵੈਚਲਿਤ ਵਾਧਾ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ;
• ਇੱਕ ਨਵਾਂ ਵਿਕਲਪ "-J" ਨੂੰ scp ਅਤੇ sftp ਵਿੱਚ ਜੋੜਿਆ ਗਿਆ ਹੈ, ਜੋ ਕਿ ProxyJump ਸੈਟਿੰਗ ਦੇ ਬਰਾਬਰ ਹੈ;
• ssh-agent, ssh-pkcs11-helper ਅਤੇ ssh-add ਵਿੱਚ, "-v" ਕਮਾਂਡ ਲਾਈਨ ਵਿਕਲਪ ਦੀ ਪ੍ਰੋਸੈਸਿੰਗ ਨੂੰ ਆਉਟਪੁੱਟ ਦੀ ਜਾਣਕਾਰੀ ਸਮੱਗਰੀ ਨੂੰ ਵਧਾਉਣ ਲਈ ਜੋੜਿਆ ਗਿਆ ਹੈ (ਜਦੋਂ ਨਿਰਧਾਰਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਇਹ ਵਿਕਲਪ ਬਾਲ ਪ੍ਰਕਿਰਿਆਵਾਂ ਨੂੰ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ, ਲਈ ਉਦਾਹਰਨ, ਜਦੋਂ ssh-pkcs11-helper ਨੂੰ ssh-agent ਤੋਂ ਬੁਲਾਇਆ ਜਾਂਦਾ ਹੈ);
• ਡਿਜੀਟਲ ਦਸਤਖਤ ਬਣਾਉਣ ਅਤੇ ਤਸਦੀਕ ਕਾਰਵਾਈਆਂ ਕਰਨ ਲਈ ssh-ਏਜੰਟ ਵਿੱਚ ਕੁੰਜੀਆਂ ਦੀ ਅਨੁਕੂਲਤਾ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ ssh-add ਵਿੱਚ “-T” ਵਿਕਲਪ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ ਹੈ;
• sftp-ਸਰਵਰ “lsetstat at openssh.com” ਪ੍ਰੋਟੋਕੋਲ ਐਕਸਟੈਂਸ਼ਨ ਲਈ ਸਮਰਥਨ ਲਾਗੂ ਕਰਦਾ ਹੈ, ਜੋ SFTP ਲਈ SSH2_FXP_SETSTAT ਓਪਰੇਸ਼ਨ ਲਈ ਸਮਰਥਨ ਜੋੜਦਾ ਹੈ, ਪਰ ਚਿੰਨ੍ਹਾਤਮਕ ਲਿੰਕਾਂ ਦੀ ਪਾਲਣਾ ਕੀਤੇ ਬਿਨਾਂ;
• ਬੇਨਤੀਆਂ ਦੇ ਨਾਲ chown/chgrp/chmod ਕਮਾਂਡਾਂ ਨੂੰ ਚਲਾਉਣ ਲਈ sftp ਵਿੱਚ "-h" ਵਿਕਲਪ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ ਹੈ ਜੋ ਪ੍ਰਤੀਕ ਲਿੰਕਾਂ ਦੀ ਵਰਤੋਂ ਨਹੀਂ ਕਰਦੇ ਹਨ;
• sshd PAM ਲਈ $SSH_CONNECTION ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲ ਦੀ ਸੈਟਿੰਗ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ;
• sshd ਲਈ, ssh_config ਵਿੱਚ ਇੱਕ "ਮੈਚ ਫਾਈਨਲ" ਮੈਚਿੰਗ ਮੋਡ ਜੋੜਿਆ ਗਿਆ ਹੈ, ਜੋ ਕਿ "ਮੈਚ ਕੈਨੋਨੀਕਲ" ਦੇ ਸਮਾਨ ਹੈ, ਪਰ ਹੋਸਟ-ਨਾਮ ਸਧਾਰਣਕਰਨ ਨੂੰ ਸਮਰੱਥ ਕਰਨ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ;
• ਬੈਚ ਮੋਡ ਵਿੱਚ ਚਲਾਈਆਂ ਕਮਾਂਡਾਂ ਦੇ ਆਉਟਪੁੱਟ ਦੇ ਅਨੁਵਾਦ ਨੂੰ ਅਸਮਰੱਥ ਬਣਾਉਣ ਲਈ sftp ਵਿੱਚ '@' ਪ੍ਰੀਫਿਕਸ ਲਈ ਸਮਰਥਨ ਜੋੜਿਆ ਗਿਆ;
• ਜਦੋਂ ਤੁਸੀਂ ਕਮਾਂਡ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਸਰਟੀਫਿਕੇਟ ਦੀ ਸਮੱਗਰੀ ਨੂੰ ਪ੍ਰਦਰਸ਼ਿਤ ਕਰਦੇ ਹੋ
  "ssh-keygen -Lf /path/certificate" ਹੁਣ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਪ੍ਰਮਾਣਿਤ ਕਰਨ ਲਈ CA ਦੁਆਰਾ ਵਰਤੇ ਗਏ ਐਲਗੋਰਿਦਮ ਨੂੰ ਪ੍ਰਦਰਸ਼ਿਤ ਕਰਦਾ ਹੈ;

• ਸਾਈਗਵਿਨ ਵਾਤਾਵਰਣ ਲਈ ਸੁਧਾਰਿਆ ਸਮਰਥਨ, ਉਦਾਹਰਨ ਲਈ ਗਰੁੱਪ ਅਤੇ ਉਪਭੋਗਤਾ ਨਾਮਾਂ ਦੀ ਕੇਸ-ਸੰਵੇਦਨਸ਼ੀਲ ਤੁਲਨਾ ਪ੍ਰਦਾਨ ਕਰਨਾ। ਸਾਈਗਵਿਨ ਪੋਰਟ ਵਿੱਚ sshd ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਮਾਈਕਰੋਸਾਫਟ ਦੁਆਰਾ ਸਪਲਾਈ ਕੀਤੇ OpenSSH ਪੋਰਟ ਵਿੱਚ ਦਖਲ ਤੋਂ ਬਚਣ ਲਈ cygsshd ਵਿੱਚ ਬਦਲ ਦਿੱਤਾ ਗਿਆ ਹੈ;
• ਪ੍ਰਯੋਗਾਤਮਕ OpenSSL 3.x ਸ਼ਾਖਾ ਦੇ ਨਾਲ ਬਣਾਉਣ ਦੀ ਯੋਗਤਾ ਨੂੰ ਜੋੜਿਆ ਗਿਆ ਹੈ;
• ਖਤਮ ਕਰ ਦਿੱਤਾ ਕਮਜ਼ੋਰੀ (CVE-2019-6111) scp ਉਪਯੋਗਤਾ ਦੇ ਲਾਗੂ ਕਰਨ ਵਿੱਚ, ਜੋ ਕਿਸੇ ਹਮਲਾਵਰ ਦੁਆਰਾ ਨਿਯੰਤਰਿਤ ਸਰਵਰ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਵੇਲੇ ਟਾਰਗਿਟ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਆਰਬਿਟਰਰੀ ਫਾਈਲਾਂ ਨੂੰ ਕਲਾਇੰਟ ਸਾਈਡ 'ਤੇ ਓਵਰਰਾਈਟ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ। ਸਮੱਸਿਆ ਇਹ ਹੈ ਕਿ ਜਦੋਂ scp ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਸਰਵਰ ਇਹ ਫੈਸਲਾ ਕਰਦਾ ਹੈ ਕਿ ਕਿਹੜੀਆਂ ਫਾਈਲਾਂ ਅਤੇ ਡਾਇਰੈਕਟਰੀਆਂ ਕਲਾਇੰਟ ਨੂੰ ਭੇਜਣੀਆਂ ਹਨ, ਅਤੇ ਕਲਾਇੰਟ ਸਿਰਫ ਵਾਪਸ ਕੀਤੇ ਆਬਜੈਕਟ ਨਾਮਾਂ ਦੀ ਸ਼ੁੱਧਤਾ ਦੀ ਜਾਂਚ ਕਰਦਾ ਹੈ। ਕਲਾਇੰਟ-ਸਾਈਡ ਚੈਕਿੰਗ ਸਿਰਫ ਮੌਜੂਦਾ ਡਾਇਰੈਕਟਰੀ (“../”) ਤੋਂ ਬਾਹਰ ਦੀ ਯਾਤਰਾ ਨੂੰ ਰੋਕਣ ਤੱਕ ਸੀਮਿਤ ਹੈ, ਪਰ ਅਸਲ ਵਿੱਚ ਬੇਨਤੀ ਕੀਤੇ ਗਏ ਨਾਮਾਂ ਤੋਂ ਵੱਖਰੇ ਨਾਵਾਂ ਵਾਲੀਆਂ ਫਾਈਲਾਂ ਦੇ ਟ੍ਰਾਂਸਫਰ ਨੂੰ ਧਿਆਨ ਵਿੱਚ ਨਹੀਂ ਰੱਖਦੀ। ਰਿਕਰਸਿਵ ਕਾਪੀਿੰਗ (-r) ਦੇ ਮਾਮਲੇ ਵਿੱਚ, ਫਾਈਲ ਨਾਮਾਂ ਤੋਂ ਇਲਾਵਾ, ਤੁਸੀਂ ਉਪ-ਡਾਇਰੈਕਟਰੀਆਂ ਦੇ ਨਾਮਾਂ ਨੂੰ ਵੀ ਇਸੇ ਤਰ੍ਹਾਂ ਨਾਲ ਹੇਰਾਫੇਰੀ ਕਰ ਸਕਦੇ ਹੋ। ਉਦਾਹਰਨ ਲਈ, ਜੇਕਰ ਉਪਭੋਗਤਾ ਹੋਮ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਫਾਈਲਾਂ ਦੀ ਨਕਲ ਕਰਦਾ ਹੈ, ਤਾਂ ਹਮਲਾਵਰ ਦੁਆਰਾ ਨਿਯੰਤਰਿਤ ਸਰਵਰ ਬੇਨਤੀ ਕੀਤੀਆਂ ਫਾਈਲਾਂ ਦੀ ਬਜਾਏ .bash_aliases ਜਾਂ .ssh/authorized_keys ਨਾਮ ਨਾਲ ਫਾਈਲਾਂ ਤਿਆਰ ਕਰ ਸਕਦਾ ਹੈ, ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਉਪਭੋਗਤਾ ਦੀ scp ਉਪਯੋਗਤਾ ਦੁਆਰਾ ਸੁਰੱਖਿਅਤ ਕੀਤਾ ਜਾਵੇਗਾ। ਘਰ ਦੀ ਡਾਇਰੈਕਟਰੀ.

  ਨਵੀਂ ਰੀਲੀਜ਼ ਵਿੱਚ, scp ਉਪਯੋਗਤਾ ਨੂੰ ਅੱਪਡੇਟ ਕੀਤਾ ਗਿਆ ਹੈ ਤਾਂ ਕਿ ਬੇਨਤੀ ਕੀਤੀ ਗਈ ਫਾਈਲ ਨਾਂ ਅਤੇ ਸਰਵਰ ਦੁਆਰਾ ਭੇਜੇ ਗਏ ਪੱਤਰ-ਵਿਹਾਰ ਦੀ ਜਾਂਚ ਕੀਤੀ ਜਾ ਸਕੇ, ਜੋ ਕਿ ਕਲਾਇੰਟ ਸਾਈਡ 'ਤੇ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਇਹ ਮਾਸਕ ਪ੍ਰੋਸੈਸਿੰਗ ਵਿੱਚ ਸਮੱਸਿਆਵਾਂ ਪੈਦਾ ਕਰ ਸਕਦਾ ਹੈ, ਕਿਉਂਕਿ ਮਾਸਕ ਵਿਸਤਾਰ ਅੱਖਰ ਸਰਵਰ ਅਤੇ ਕਲਾਇੰਟ ਸਾਈਡਾਂ 'ਤੇ ਵੱਖਰੇ ਤਰੀਕੇ ਨਾਲ ਪ੍ਰੋਸੈਸ ਕੀਤੇ ਜਾ ਸਕਦੇ ਹਨ। ਜੇਕਰ ਅਜਿਹੇ ਅੰਤਰਾਂ ਕਾਰਨ ਕਲਾਇੰਟ scp ਵਿੱਚ ਫਾਈਲਾਂ ਨੂੰ ਸਵੀਕਾਰ ਕਰਨਾ ਬੰਦ ਕਰ ਦਿੰਦਾ ਹੈ, ਤਾਂ "-T" ਵਿਕਲਪ ਨੂੰ ਕਲਾਇੰਟ-ਸਾਈਡ ਜਾਂਚ ਨੂੰ ਅਯੋਗ ਕਰਨ ਲਈ ਜੋੜਿਆ ਗਿਆ ਹੈ। ਸਮੱਸਿਆ ਨੂੰ ਪੂਰੀ ਤਰ੍ਹਾਂ ਠੀਕ ਕਰਨ ਲਈ, scp ਪ੍ਰੋਟੋਕੋਲ ਦੀ ਇੱਕ ਸੰਕਲਪਿਕ ਰੀਵਰਕਿੰਗ ਦੀ ਲੋੜ ਹੈ, ਜੋ ਕਿ ਪਹਿਲਾਂ ਹੀ ਪੁਰਾਣਾ ਹੈ, ਇਸਲਈ ਇਸਦੀ ਬਜਾਏ ਹੋਰ ਆਧੁਨਿਕ ਪ੍ਰੋਟੋਕੋਲ ਜਿਵੇਂ ਕਿ sftp ਅਤੇ rsync ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਸਿਫਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।

ਸਰੋਤ: opennet.ru