Lançado o OpenSSH 9.0, uma implementação aberta do cliente e servidor para trabalhar com os protocolos SSH 2.0 e SFTP. Na nova versão, a ferramenta scp foi alterada para usar SFTP por padrão, ao invés do obsoleto protocolo SCP/RCP.
No SFTP, métodos de manipulação de nomes mais previsíveis são aplicados, e o processamento de padrões globais em nomes de arquivos através do shell no outro host, que pode criar problemas de segurança, não é utilizado. Especificamente, ao usar SCP e RCP, o servidor decide quais arquivos e diretórios enviar ao cliente, enquanto o cliente apenas verifica a correção dos nomes dos objetos retornados, o que, na ausência de verificações adequadas do lado do cliente, pode permitir servidor o envio de outros nomes de arquivos que diferem dos solicitados.
O protocolo SFTP está livre desses problemas, mas não suporta a expansão de caminhos especiais, como "~/". Para eliminar essa discrepância, a partir do OpenSSH 8.7, o servidor SFTP implementa a extensão de protocolo "expand-path@openssh.com" para expandir os caminhos ~/ e ~user/.
Ao usar o SFTP, os usuários também podem enfrentar incompatibilidades devido à necessidade de dupla escape de caracteres especiais de expansão de caminhos em solicitações SCP e RCP, para evitar que sejam interpretados no lado remoto. No SFTP, essa necessidade de escape não existe e aspas extras podem causar erro na transferência de dados. Os desenvolvedores do OpenSSH optaram por não adicionar extensão para replicar o comportamento do scp nesse caso, pois o duplo escape é considerado uma deficiência que não vale a pena repetir.
Outras mudanças na nova versão:
- No ssh e sshd, o algoritmo híbrido de troca de chaves "sntrup761x25519-sha512@openssh.com" (ECDH/x25519 + NTRU Prime) está, por padrão, ativado, sendo resistente a ataques de computadores quânticos e combinado com ECDH/x25519 para bloquear possíveis problemas no NTRU Prime que possam surgir no futuro. No conjunto de KexAlgorithms, que define a ordem de seleção dos métodos de troca de chaves, o algoritmo mencionado agora está em primeiro lugar e tem prioridade sobre os algoritmos ECDH e DH.
Os computadores quânticos ainda não alcançaram um nível que permita quebrar chaves tradicionais, mas a aplicação de proteção híbrida irá proteger os usuários contra ataques relacionados à retenção de sessões SSH interceptadas, na expectativa de que possam ser descriptografadas no futuro, quando os computadores quânticos necessários estiverem disponíveis.
- No sftp-server, foi adicionada a extensão "copy-data", permitindo copiar dados do lado do servidor, sem envio intermediário ao cliente, se o arquivo de origem e o arquivo de destino estiverem no mesmo. servidor.
- Foi adicionada à utilidade sftp o comando "cp" para iniciar a cópia de arquivos do lado do servidor pelo cliente.
Fonte: opennet.ru
