Opublikowano wydanie OpenSSH 10.0, otwartej implementacji klienta i serwera do pracy na protoko\u0142ach SSH 2.0 i SFTP. G\u0142\u00f3wne zmiany: <\/p>\n
\n
Usuni\u0119to wsparcie dla cyfrowych podpis\u00f3w opartych na algorytmie DSA, kt\u00f3rego poziom bezpiecze\u0144stwa nie spe\u0142nia wsp\u00f3\u0142czesnych wymaga\u0144. Koszty kontynuowania wsparcia dla niebezpiecznego algorytmu DSA nie maj\u0105 uzasadnienia, a jego usuni\u0119cie pozwoli na zmotywowanie do zaprzestania wsparcia DSA w innych implementacjach SSH i bibliotekach kryptograficznych. Z defaultu korzystanie z kluczy DSA zako\u0144czono ju\u017c w 2015 roku.\n
Kontynuowane jest podzia\u0142 sshd na kilka oddzielnych plik\u00f3w wykonywalnych. W OpenSSH 9.8 z sshd wyodr\u0119bniono proces sshd-session, kt\u00f3ry realizuje zadania zwi\u0105zane z obs\u0142ug\u0105 sesji. W OpenSSH 10.0 z sshd-session do oddzielnego procesu sshd-auth przeniesiono kod zwi\u0105zany z autoryzacj\u0105. Proces sshd-auth pozwala dodatkowo izolowa\u0107 dane zwi\u0105zane z autoryzacj\u0105 w adresowej przestrzeni oddzielnego procesu, co uniemo\u017cliwia dost\u0119p do tych danych w pami\u0119ci w przypadku przeprowadzania atak\u00f3w na kod u\u017cywany do obs\u0142ugi etap\u00f3w po\u0142\u0105czenia przed zako\u0144czeniem autoryzacji. Ponadto zmiana nieznacznie zmniejszy zu\u017cycie pami\u0119ci, poniewa\u017c kod zwi\u0105zany z autoryzacj\u0105 jest teraz obecny w pami\u0119ci tylko w czasie autoryzacji, a nast\u0119pnie jest usuwany po zako\u0144czeniu procesu sshd-auth.\n
W ssh domy\u015blnie stosowany jest hybrydowy algorytm wymiany kluczy \u201emlkem768x25519-sha256\u201d, odporny na ataki z u\u017cyciem komputer\u00f3w kwantowych, b\u0119d\u0105cy kombinacj\u0105 X25519 ECDH i algorytmu ML-KEM (CRYSTALS-Kyber), standaryzowanym przez Narodowy Instytut Standard\u00f3w i Technologii USA (NIST). ML-KEM wykorzystuje metody kryptografii oparte na rozwi\u0105zywaniu problem\u00f3w teorii siatek, czas ich rozwi\u0105zywania jest taki sam na komputerach klasycznych i kwantowych.\n
W ssh_config dodano wsparcie dla zast\u0119powania \u201e%-token\u201d w dyrektywach SetEnv i User oraz rozwijania zmiennych \u015brodowiskowych.\n
W ssh_config oraz sshd_config wprowadzono wsparcie dla wyra\u017cenia \u201eMatch version\u201d, kt\u00f3re pozwala na stosowanie ustawie\u0144 w zale\u017cno\u015bci od posiadanej wersji OpenSSH, na przyk\u0142ad, aby powi\u0105za\u0107 z OpenSSH 10, mo\u017cna u\u017cy\u0107 \u201eMatch version OpenSSH_10.*\u201d.\n
W ssh_config dodano wsparcie dla wyra\u017ce\u0144:\n
\n
\u201eMatch sessiontype\u201d umo\u017cliwia stosowanie ustawie\u0144 zale\u017cnie od typu \u017c\u0105danego sesji: \u201eshell\u201d dla sesji interaktywnych, \u201eexec\u201d dla uruchamiania polece\u0144, \u201esubsystem\u201d dla sftp oraz \u201enone\u201d dla tuneli i przekierowania ruchu.\n
\u201eMatch command\u201d do powi\u0105zania dzia\u0142a\u0144 z poleceniami okre\u015blonymi w wierszu polece\u0144 dla uruchamiania przez ssh.\n
\u201eMatch tagged \u201e\u201e\u201d oraz \u201eMatch command \u201e\u201e\u201d do powi\u0105zania z pustymi tagami i uruchamiania ssh bez wskazywania wykonywanego polecenia. <\/ul>\n
W sshd_config dozwolone jest u\u017cywanie masek w \u015bcie\u017ckach plik\u00f3w wskazanych w dyrektywach AuthorizedKeysFile oraz AuthorizedPrincipalsFile.\n
W kliencie ssh dodano wsparcie dla opcji \u201eVersionAddendum\u201d do dodawania dowolnego tekstu do linii z numerem wersji (wcze\u015bniej ta opcja by\u0142a dost\u0119pna tylko dla serwera<\/a> sshd).\n