Po czterech miesi\u0105cach rozwoju zaprezentowano wydanie OpenSSH 8.7, otwartej implementacji klienta i serwera do pracy w protoko\u0142ach SSH 2.0 i SFTP. <\/p>\n
G\u0142\u00f3wne zmiany: <\/p>\n
\n
W scp dodano eksperymentalne tryb przesy\u0142u danych z u\u017cyciem protoko\u0142u SFTP zamiast tradycyjnie stosowanego protoko\u0142u SCP\/RCP. W SFTP stosowane s\u0105 bardziej przewidywalne metody obr\u00f3bki nazw i nie korzysta si\u0119 z przetwarzania szablon\u00f3w globowych przez shell na zdalnym ho\u015bcie, co stwarza problemy z bezpiecze\u0144stwem. Aby w\u0142\u0105czy\u0107 SFTP w scp, zaproponowano flag\u0119 «-s», jednak w przysz\u0142o\u015bci planowane jest przej\u015bcie na ten protok\u00f3\u0142 jako domy\u015blny.\n
W sftp-server zaimplementowano rozszerzenia protoko\u0142u SFTP do rozpoznawania \u015bcie\u017cek ~\/ i ~user\/, co jest konieczne dla scp.\n
W narz\u0119dziu scp zmieniono zachowanie podczas kopiowania plik\u00f3w mi\u0119dzy dwoma zdalnymi hostami (np. «scp host-a:/path host-b:»), kt\u00f3re teraz domy\u015blnie odbywa si\u0119 poprzez lokalny host po\u015brednicz\u0105cy, jak przy u\u017cyciu flagi «-3». Taki spos\u00f3b pozwala unikn\u0105\u0107 przesy\u0142ania zb\u0119dnych danych uwierzytelniaj\u0105cych do pierwszego hosta oraz potr\u00f3jnej interpretacji nazw plik\u00f3w w shellu (po stronie \u017ar\u00f3d\u0142a, odbiorcy i lokalnego systemu), a tak\u017ce przy u\u017cyciu SFTP pozwala na korzystanie ze wszystkich metod uwierzytelniania przy \u0142\u0105czeniu si\u0119 ze zdalnymi hostami, a nie tylko z interaktywnych metod. Aby przywr\u00f3ci\u0107 poprzednie zachowanie, dodano opcj\u0119 «-R».\n
W ssh dodano ustawienie ForkAfterAuthentication, odpowiadaj\u0105ce flagi «-f».\n
W ssh dodano ustawienie StdinNull, odpowiadaj\u0105ce flagi «-n».\n
W ssh dodano ustawienie SessionType, za pomoc\u0105 kt\u00f3rego mo\u017cna ustawi\u0107 tryby odpowiednie dla flag «-N» (bez sesji) i «-s» (subsystem).\n
W ssh-keygen w plikach z kluczami zezwolono na okre\u015blenie okresu wa\u017cno\u015bci klucza.\n
W ssh-keygen dodano flag\u0119 «-Oprint-pubkey» do wy\u015bwietlania pe\u0142nego klucza publicznego w obr\u0119bie podpisu sshsig.\n
W ssh i sshd, zar\u00f3wno klient, jak i serwer, zosta\u0142y prze\u0142\u0105czone na u\u017cywanie bardziej rygorystycznego parsera pliku konfiguracyjnego, kt\u00f3ry stosuje zasady podobne do regu\u0142 shell w zakresie obr\u00f3bki cudzys\u0142ow\u00f3w, spacji i znak\u00f3w ucieczki. Nowy parser nie ignoruje r\u00f3wnie\u017c wcze\u015bniej stosowanych za\u0142o\u017ce\u0144, takich jak pomijanie argument\u00f3w w opcjach (np. obecnie nie mo\u017cna pozostawi\u0107 pustej dyrektywy DenyUsers), niezako\u0144czonego cudzys\u0142owu oraz podawania wielu symboli «=».\n
Podczas weryfikacji kluczy za pomoc\u0105 rekord\u00f3w DNS SSHFP, ssh teraz sprawdza wszystkie dopasowane rekordy, a nie tylko te zawieraj\u0105ce okre\u015blony typ podpisu cyfrowego.\n
W ssh-keygen, przy generowaniu klucza FIDO z opcj\u0105 -Ochallenge do haszowania, teraz u\u017cywana jest wbudowana warstwa, a nie biblioteki libfido2, co pozwala na u\u017cycie sekwencji wyzwa\u0144 o d\u0142ugo\u015bci wi\u0119kszej lub mniejszej ni\u017c 32 bajty.\n
W sshd przy przetwarzaniu dyrektywy environment=»…» w plikach authorized_keys teraz ustawiane jest pierwsze dopasowanie, a tak\u017ce obowi\u0105zuje ograniczenie do 1024 nazw zmiennych \u015brodowiskowych. <\/ul>\n
Programi\u015bci OpenSSH r\u00f3wnie\u017c ostrzegli o przej\u015bciu do kategorii przestarza\u0142ych algorytm\u00f3w wykorzystuj\u0105cych hashe SHA-1, w zwi\u0105zku z rosn\u0105c\u0105 skuteczno\u015bci\u0105 atak\u00f3w kolizyjnych z zadanym prefiksem (koszt przeszukiwania kolizji szacowany jest na oko\u0142o 50 tysi\u0119cy dolar\u00f3w). W nast\u0119pnym wydaniu planowane jest domy\u015blne wy\u0142\u0105czenie mo\u017cliwo\u015bci korzystania z algorytmu podpis\u00f3w cyfrowych opartego na kluczu publicznym «ssh-rsa», kt\u00f3ry jest wspomniany w oryginalnym RFC dla protoko\u0142u SSH i pozostaje powszechnie stosowany w praktyce. <\/p>\n
Aby sprawdzi\u0107 zastosowanie ssh-rsa w swoich systemach, mo\u017cna spr\u00f3bowa\u0107 po\u0142\u0105czy\u0107 si\u0119 przez ssh z opcj\u0105 \u00ab-oHostKeyAlgorithms=-ssh-rsa\u00bb. Warto zauwa\u017cy\u0107, \u017ce domy\u015blne wy\u0142\u0105czenie podpis\u00f3w cyfrowych \u00abssh-rsa\u00bb nie oznacza ca\u0142kowitej rezygnacji z u\u017cywania kluczy RSA, poniewa\u017c opr\u00f3cz SHA-1 protok\u00f3\u0142 SSH dopuszcza u\u017cycie innych algorytm\u00f3w obliczania skr\u00f3t\u00f3w. W szczeg\u00f3lno\u015bci, opr\u00f3cz \u00abssh-rsa\u00bb pozostanie mo\u017cliwo\u015b\u0107 korzystania z zestaw\u00f3w \u00abrsa-sha2-256\u00bb (RSA\/SHA256) i \u00abrsa-sha2-512\u00bb (RSA\/SHA512). <\/p>\n