OpenSSH 8.4 ਰੀਲੀਜ਼

ਵਿਕਾਸ ਦੇ ਚਾਰ ਮਹੀਨਿਆਂ ਬਾਅਦ ਪੇਸ਼ ਕੀਤਾ OpenSSH 8.4 ਦੀ ਰੀਲਿਜ਼, SSH 2.0 ਅਤੇ SFTP ਪ੍ਰੋਟੋਕੋਲ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕੰਮ ਕਰਨ ਲਈ ਇੱਕ ਓਪਨ ਕਲਾਇੰਟ ਅਤੇ ਸਰਵਰ ਲਾਗੂ ਕਰਨਾ।

ਮੁੱਖ ਬਦਲਾਅ:

• ਸੁਰੱਖਿਆ ਬਦਲਾਅ:
  • ssh-ਏਜੰਟ ਵਿੱਚ, ਜਦੋਂ FIDO ਕੁੰਜੀਆਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋ ਜੋ SSH ਪ੍ਰਮਾਣਿਕਤਾ ਲਈ ਨਹੀਂ ਬਣਾਈਆਂ ਗਈਆਂ ਸਨ (ਕੁੰਜੀ ID ਸਤਰ "ssh:" ਨਾਲ ਸ਼ੁਰੂ ਨਹੀਂ ਹੁੰਦੀ ਹੈ), ਇਹ ਹੁਣ ਜਾਂਚ ਕਰਦਾ ਹੈ ਕਿ SSH ਪ੍ਰੋਟੋਕੋਲ ਵਿੱਚ ਵਰਤੇ ਗਏ ਢੰਗਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਸੁਨੇਹਾ ਸਾਈਨ ਕੀਤਾ ਜਾਵੇਗਾ। ਪਰਿਵਰਤਨ ssh-ਏਜੰਟ ਨੂੰ ਰਿਮੋਟ ਹੋਸਟਾਂ 'ਤੇ ਰੀਡਾਇਰੈਕਟ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਨਹੀਂ ਦੇਵੇਗਾ ਜਿਨ੍ਹਾਂ ਕੋਲ ਵੈੱਬ ਪ੍ਰਮਾਣਿਕਤਾ ਬੇਨਤੀਆਂ ਲਈ ਦਸਤਖਤ ਬਣਾਉਣ ਲਈ ਇਹਨਾਂ ਕੁੰਜੀਆਂ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਸਮਰੱਥਾ ਨੂੰ ਰੋਕਣ ਲਈ FIDO ਕੁੰਜੀਆਂ ਹਨ (ਉਲਟਾ ਕੇਸ, ਜਦੋਂ ਇੱਕ ਬ੍ਰਾਊਜ਼ਰ SSH ਬੇਨਤੀ 'ਤੇ ਦਸਤਖਤ ਕਰ ਸਕਦਾ ਹੈ, ਨੂੰ ਸ਼ੁਰੂ ਵਿੱਚ ਬਾਹਰ ਰੱਖਿਆ ਗਿਆ ਹੈ। ਕੁੰਜੀ ਪਛਾਣਕਰਤਾ ਵਿੱਚ "ssh:" ਅਗੇਤਰ ਦੀ ਵਰਤੋਂ ਕਰਕੇ)।
  • ssh-keygen ਦੀ ਰੈਜ਼ੀਡੈਂਟ ਕੁੰਜੀ ਜਨਰੇਸ਼ਨ ਵਿੱਚ FIDO 2.1 ਨਿਰਧਾਰਨ ਵਿੱਚ ਵਰਣਿਤ credProtect ਐਡ-ਆਨ ਲਈ ਸਮਰਥਨ ਸ਼ਾਮਲ ਹੈ, ਜੋ ਕਿ ਕੋਈ ਵੀ ਕਾਰਵਾਈ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਇੱਕ ਪਿੰਨ ਦੀ ਲੋੜ ਕਰਕੇ ਕੁੰਜੀਆਂ ਲਈ ਵਾਧੂ ਸੁਰੱਖਿਆ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ ਜਿਸ ਦੇ ਨਤੀਜੇ ਵਜੋਂ ਟੋਕਨ ਤੋਂ ਨਿਵਾਸੀ ਕੁੰਜੀ ਨੂੰ ਐਕਸਟਰੈਕਟ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ।
• ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਅਨੁਕੂਲਤਾ ਤਬਦੀਲੀਆਂ ਨੂੰ ਤੋੜਨਾ:
  • FIDO/U2F ਦਾ ਸਮਰਥਨ ਕਰਨ ਲਈ, libfido2 ਲਾਇਬ੍ਰੇਰੀ ਨੂੰ ਘੱਟੋ-ਘੱਟ ਸੰਸਕਰਣ 1.5.0 ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਸਿਫਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਪੁਰਾਣੇ ਸੰਸਕਰਣਾਂ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਯੋਗਤਾ ਨੂੰ ਅੰਸ਼ਕ ਤੌਰ 'ਤੇ ਲਾਗੂ ਕੀਤਾ ਗਿਆ ਹੈ, ਪਰ ਇਸ ਸਥਿਤੀ ਵਿੱਚ, ਫੰਕਸ਼ਨ ਜਿਵੇਂ ਕਿ ਨਿਵਾਸੀ ਕੁੰਜੀਆਂ, ਪਿੰਨ ਬੇਨਤੀ, ਅਤੇ ਮਲਟੀਪਲ ਟੋਕਨਾਂ ਨੂੰ ਜੋੜਨਾ ਉਪਲਬਧ ਨਹੀਂ ਹੋਵੇਗਾ।
  • ssh-keygen ਵਿੱਚ, ਡਿਜ਼ੀਟਲ ਹਸਤਾਖਰਾਂ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ ਲੋੜੀਂਦਾ ਪ੍ਰਮਾਣਕ ਡੇਟਾ ਪੁਸ਼ਟੀਕਰਣ ਜਾਣਕਾਰੀ ਦੇ ਫਾਰਮੈਟ ਵਿੱਚ ਜੋੜਿਆ ਗਿਆ ਹੈ, ਇੱਕ FIDO ਕੁੰਜੀ ਬਣਾਉਣ ਵੇਲੇ ਵਿਕਲਪਿਕ ਤੌਰ 'ਤੇ ਸੁਰੱਖਿਅਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।
  • FIDO ਟੋਕਨਾਂ ਨੂੰ ਐਕਸੈਸ ਕਰਨ ਲਈ OpenSSH ਪਰਤ ਨਾਲ ਇੰਟਰੈਕਟ ਕਰਨ ਵੇਲੇ ਵਰਤੀ ਜਾਂਦੀ API ਨੂੰ ਬਦਲਿਆ ਗਿਆ ਹੈ।
  • OpenSSH ਦਾ ਪੋਰਟੇਬਲ ਸੰਸਕਰਣ ਬਣਾਉਂਦੇ ਸਮੇਂ, ਆਟੋਮੇਕ ਨੂੰ ਹੁਣ ਕੌਂਫਿਗਰ ਸਕ੍ਰਿਪਟ ਅਤੇ ਇਸਦੇ ਨਾਲ ਬਿਲਡ ਫਾਈਲਾਂ ਬਣਾਉਣ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ (ਜੇ ਪ੍ਰਕਾਸ਼ਿਤ ਕੋਡ ਟਾਰ ਫਾਈਲ ਤੋਂ ਬਣਾਉਂਦੇ ਹੋ, ਸੰਰਚਨਾ ਨੂੰ ਦੁਬਾਰਾ ਬਣਾਉਣ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ)।
• FIDO ਕੁੰਜੀਆਂ ਲਈ ਸਮਰਥਨ ਜੋੜਿਆ ਗਿਆ ਜਿਸ ਲਈ ssh ਅਤੇ ssh-keygen ਵਿੱਚ PIN ਪੁਸ਼ਟੀਕਰਨ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ। PIN ਨਾਲ ਕੁੰਜੀਆਂ ਬਣਾਉਣ ਲਈ, ssh-keygen ਵਿੱਚ “verify-required” ਵਿਕਲਪ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ ਹੈ। ਜੇਕਰ ਅਜਿਹੀਆਂ ਕੁੰਜੀਆਂ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਤਾਂ ਦਸਤਖਤ ਬਣਾਉਣ ਦੀ ਕਾਰਵਾਈ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ, ਉਪਭੋਗਤਾ ਨੂੰ ਪਿੰਨ ਕੋਡ ਦਰਜ ਕਰਕੇ ਉਹਨਾਂ ਦੀਆਂ ਕਾਰਵਾਈਆਂ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ ਕਿਹਾ ਜਾਂਦਾ ਹੈ।
• sshd ਵਿੱਚ, "verify-required" ਵਿਕਲਪ ਨੂੰ ਅਧਿਕਾਰਤ_ਕੀਜ਼ ਸੈਟਿੰਗ ਵਿੱਚ ਲਾਗੂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਜਿਸ ਲਈ ਟੋਕਨ ਨਾਲ ਓਪਰੇਸ਼ਨ ਦੌਰਾਨ ਉਪਭੋਗਤਾ ਦੀ ਮੌਜੂਦਗੀ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ ਸਮਰੱਥਾਵਾਂ ਦੀ ਵਰਤੋਂ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ। FIDO ਸਟੈਂਡਰਡ ਅਜਿਹੇ ਪੁਸ਼ਟੀਕਰਨ ਲਈ ਕਈ ਵਿਕਲਪ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ, ਪਰ ਵਰਤਮਾਨ ਵਿੱਚ OpenSSH ਸਿਰਫ਼ PIN-ਅਧਾਰਿਤ ਪੁਸ਼ਟੀਕਰਨ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ।
• sshd ਅਤੇ ssh-keygen ਨੇ ਡਿਜੀਟਲ ਦਸਤਖਤਾਂ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ ਸਮਰਥਨ ਜੋੜਿਆ ਹੈ ਜੋ FIDO Webauthn ਸਟੈਂਡਰਡ ਦੀ ਪਾਲਣਾ ਕਰਦੇ ਹਨ, ਜੋ FIDO ਕੁੰਜੀਆਂ ਨੂੰ ਵੈੱਬ ਬ੍ਰਾਊਜ਼ਰਾਂ ਵਿੱਚ ਵਰਤਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ।
• ਸਰਟੀਫਿਕੇਟ ਫਾਈਲ ਸੈਟਿੰਗਾਂ ਵਿੱਚ ssh ਵਿੱਚ,
  ControlPath, IdentityAgent, IdentityFile, LocalForward ਅਤੇ
  ਰਿਮੋਟਫੋਰਡ "${ENV}" ਫਾਰਮੈਟ ਵਿੱਚ ਦਰਸਾਏ ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲਾਂ ਤੋਂ ਮੁੱਲਾਂ ਨੂੰ ਬਦਲਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ।

• ssh ਅਤੇ ssh-ਏਜੰਟ ਨੇ $SSH_ASKPASS_REQUIRE ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲ ਲਈ ਸਮਰਥਨ ਜੋੜਿਆ ਹੈ, ਜਿਸਦੀ ਵਰਤੋਂ ssh-askpass ਕਾਲ ਨੂੰ ਯੋਗ ਜਾਂ ਅਯੋਗ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ।
• AddKeysToAgent ਡਾਇਰੈਕਟਿਵ ਵਿੱਚ ssh_config ਵਿੱਚ ssh ਵਿੱਚ, ਇੱਕ ਕੁੰਜੀ ਦੀ ਵੈਧਤਾ ਮਿਆਦ ਨੂੰ ਸੀਮਿਤ ਕਰਨ ਦੀ ਯੋਗਤਾ ਸ਼ਾਮਲ ਕੀਤੀ ਗਈ ਹੈ। ਨਿਰਧਾਰਤ ਸੀਮਾ ਦੀ ਮਿਆਦ ਪੁੱਗਣ ਤੋਂ ਬਾਅਦ, ਕੁੰਜੀਆਂ ssh-agent ਤੋਂ ਆਪਣੇ ਆਪ ਮਿਟਾ ਦਿੱਤੀਆਂ ਜਾਂਦੀਆਂ ਹਨ।
• scp ਅਤੇ sftp ਵਿੱਚ, "-A" ਫਲੈਗ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ, ਤੁਸੀਂ ਹੁਣ ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ ssh-agent ਦੀ ਵਰਤੋਂ ਕਰਕੇ scp ਅਤੇ sftp ਨੂੰ ਰੀਡਾਇਰੈਕਸ਼ਨ ਦੀ ਇਜਾਜ਼ਤ ਦੇ ਸਕਦੇ ਹੋ (ਡਿਫਾਲਟ ਰੂਪ ਵਿੱਚ ਰੀਡਾਇਰੈਕਸ਼ਨ ਅਯੋਗ ਹੈ)।
• ssh ਸੈਟਿੰਗਾਂ ਵਿੱਚ '%k' ਬਦਲ ਲਈ ਸਹਿਯੋਗ ਜੋੜਿਆ ਗਿਆ ਹੈ, ਜੋ ਕਿ ਹੋਸਟ ਕੁੰਜੀ ਦਾ ਨਾਮ ਦਰਸਾਉਂਦਾ ਹੈ। ਇਸ ਵਿਸ਼ੇਸ਼ਤਾ ਨੂੰ ਵੱਖਰੀਆਂ ਫਾਈਲਾਂ ਵਿੱਚ ਕੁੰਜੀਆਂ ਵੰਡਣ ਲਈ ਵਰਤਿਆ ਜਾ ਸਕਦਾ ਹੈ (ਉਦਾਹਰਨ ਲਈ, “UserKnownHostsFile ~/.ssh/known_hosts.d/%k”)।
• stdin ਤੋਂ ਮਿਟਾਈਆਂ ਜਾਣ ਵਾਲੀਆਂ ਕੁੰਜੀਆਂ ਨੂੰ ਪੜ੍ਹਨ ਲਈ "ssh-add -d -" ਕਾਰਵਾਈ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦਿਓ।
• sshd ਵਿੱਚ, ਕਨੈਕਸ਼ਨ ਦੀ ਛਾਂਟੀ ਪ੍ਰਕਿਰਿਆ ਦੀ ਸ਼ੁਰੂਆਤ ਅਤੇ ਸਮਾਪਤੀ ਲੌਗ ਵਿੱਚ ਪ੍ਰਤੀਬਿੰਬਿਤ ਹੁੰਦੀ ਹੈ, ਮੈਕਸਸਟਾਰਟਅੱਪਸ ਪੈਰਾਮੀਟਰ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਨਿਯੰਤ੍ਰਿਤ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।

OpenSSH ਡਿਵੈਲਪਰਾਂ ਨੇ SHA-1 ਹੈਸ਼ਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਐਲਗੋਰਿਦਮ ਦੇ ਆਗਾਮੀ ਡੀਕਮਿਸ਼ਨਿੰਗ ਨੂੰ ਵੀ ਯਾਦ ਕੀਤਾ ਵਾਧਾ ਇੱਕ ਦਿੱਤੇ ਅਗੇਤਰ ਦੇ ਨਾਲ ਟੱਕਰ ਦੇ ਹਮਲਿਆਂ ਦੀ ਪ੍ਰਭਾਵਸ਼ੀਲਤਾ (ਟੱਕਰ ਦੀ ਚੋਣ ਕਰਨ ਦੀ ਲਾਗਤ ਲਗਭਗ 45 ਹਜ਼ਾਰ ਡਾਲਰ ਹੈ)। ਆਗਾਮੀ ਰੀਲੀਜ਼ਾਂ ਵਿੱਚੋਂ ਇੱਕ ਵਿੱਚ, ਉਹ ਜਨਤਕ ਕੁੰਜੀ ਡਿਜੀਟਲ ਹਸਤਾਖਰ ਐਲਗੋਰਿਦਮ "ssh-rsa" ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਯੋਗਤਾ ਨੂੰ ਮੂਲ ਰੂਪ ਵਿੱਚ ਅਸਮਰੱਥ ਬਣਾਉਣ ਦੀ ਯੋਜਨਾ ਬਣਾਉਂਦੇ ਹਨ, ਜਿਸਦਾ SSH ਪ੍ਰੋਟੋਕੋਲ ਲਈ ਮੂਲ RFC ਵਿੱਚ ਜ਼ਿਕਰ ਕੀਤਾ ਗਿਆ ਹੈ ਅਤੇ ਅਭਿਆਸ ਵਿੱਚ ਵਿਆਪਕ ਰਹਿੰਦਾ ਹੈ (ਵਰਤੋਂ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ ਤੁਹਾਡੇ ਸਿਸਟਮਾਂ ਵਿੱਚ ssh-rsa ਦਾ, ਤੁਸੀਂ "-oHostKeyAlgorithms=-ssh-rsa" ਵਿਕਲਪ ਨਾਲ ssh ਰਾਹੀਂ ਜੁੜਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰ ਸਕਦੇ ਹੋ।

OpenSSH ਵਿੱਚ ਨਵੇਂ ਐਲਗੋਰਿਦਮ ਵਿੱਚ ਪਰਿਵਰਤਨ ਨੂੰ ਸੁਚਾਰੂ ਬਣਾਉਣ ਲਈ, ਅਗਲੀ ਰੀਲੀਜ਼ ਡਿਫੌਲਟ ਰੂਪ ਵਿੱਚ UpdateHostKeys ਸੈਟਿੰਗ ਨੂੰ ਸਮਰੱਥ ਕਰੇਗੀ, ਜੋ ਗਾਹਕਾਂ ਨੂੰ ਆਪਣੇ ਆਪ ਹੋਰ ਭਰੋਸੇਯੋਗ ਐਲਗੋਰਿਦਮ ਵਿੱਚ ਮਾਈਗਰੇਟ ਕਰੇਗੀ। ਮਾਈਗ੍ਰੇਸ਼ਨ ਲਈ ਸਿਫ਼ਾਰਿਸ਼ ਕੀਤੇ ਐਲਗੋਰਿਦਮ ਵਿੱਚ RFC2 RSA SHA-256 'ਤੇ ਆਧਾਰਿਤ rsa-sha512-8332/2 (OpenSSH 7.2 ਤੋਂ ਸਮਰਥਿਤ ਅਤੇ ਮੂਲ ਰੂਪ ਵਿੱਚ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ), ssh-ed25519 (OpenSSH 6.5 ਤੋਂ ਸਮਰਥਿਤ) ਅਤੇ ecdsa-sha2-nistp256/384 ਅਧਾਰਿਤ RFC521 ECDSA 'ਤੇ (OpenSSH 5656 ਤੋਂ ਸਮਰਥਿਤ)।

ਸਰੋਤ: opennet.ru