Dup\u0103 patru luni de dezvoltare, a fost lansat\u0103 versiunea OpenSSH 8.7, o implementare deschis\u0103 a clientului \u0219i serverului pentru lucrul cu protocoalele SSH 2.0 \u0219i SFTP. <\/p>\n
Modific\u0103ri principale: <\/p>\n
\n
\u00cen scp a fost ad\u0103ugat un mod experimental de transfer de date utiliz\u00e2nd protocolul SFTP \u00een locul protocolului tradi\u021bional SCP\/RCP. SFTP folose\u0219te metode de gestionare a numelui mai previzibile \u0219i nu folose\u0219te procesarea glob-template prin shell pe partea cealalt\u0103 a gazdei, ceea ce creeaz\u0103 probleme de securitate. Pentru a activa SFTP \u00een scp, a fost propus\u0103 op\u021biunea \u00ab-s\u00bb, dar \u00een viitor se preconizeaz\u0103 trecerea la acest protocol ca fiind implicit.\n
\u00cen sftp-server au fost implementate extensii ale protocolului SFTP pentru a dezv\u0103lui c\u0103ile ~ \/ \u0219i ~ user \/, ceea ce este necesar pentru scp.\n
\u00cen utilitarul scp s-a schimbat comportamentul la copierea fi\u0219ierelor \u00eentre dou\u0103 gazde remote (de exemplu, \u00abscp host-a:\/path host-b:\u00bb), care acum se efectueaz\u0103 implicit printr-o gazd\u0103 local\u0103 intermediar\u0103, ca atunci c\u00e2nd se specific\u0103 op\u021biunea \u00ab-3\u00bb. Aceast\u0103 abordare permite evitarea transmisiei inutile a datelor de autentificare c\u0103tre prima gazd\u0103 \u0219i a interpret\u0103rii triple a numelui fi\u0219ierelor \u00een shell (de partea sursei, a receptorului \u0219i a sistemului local), \u0219i de asemenea, c\u00e2nd se utilizeaz\u0103 SFTP, permite utilizarea tuturor metodelor de autentificare la accesarea gazdelor remote, nu doar a metodelor non-interactive. Pentru a restaura comportamentul anterior, a fost ad\u0103ugat\u0103 op\u021biunea \u00ab-R\u00bb.\n
\u00cen ssh a fost ad\u0103ugat\u0103 setarea ForkAfterAuthentication, corespunz\u0103toare op\u021biunii \u00ab-f\u00bb.\n
\u00cen ssh a fost ad\u0103ugat\u0103 setarea StdinNull, corespunz\u0103toare op\u021biunii \u00ab-n\u00bb.\n
\u00cen ssh a fost ad\u0103ugat\u0103 setarea SessionType, prin care se pot stabili moduri corespunz\u0103toare op\u021biunilor \u00ab-N\u00bb (f\u0103r\u0103 sesiune) \u0219i \u00ab-s\u00bb (subsystem).\n
\u00cen ssh-keygen, \u00een fi\u0219ierele cu chei, este permis specificarea intervalului de valabilitate a cheii.\n
\u00cen ssh-keygen a fost ad\u0103ugat\u0103 op\u021biunea \u00ab-Oprint-pubkey\u00bb pentru a afi\u0219a cheia public\u0103 complet\u0103 \u00een cadrul semn\u0103turii sshsig.\n
\u00cen ssh \u0219i sshd, at\u00e2t clientul c\u00e2t \u0219i serverul, au fost trecute la utilizarea unui parser mai strict al fi\u0219ierului de configurare, care folose\u0219te reguli de procesare a ghilimelelor, spa\u021biilor \u0219i caracterelor escape similare cu shell. Noua parcer\u0103 nu mai permite presupunerile care existau anterior, cum ar fi omiterea argumentelor \u00een op\u021biuni (de exemplu, acum nu este permis s\u0103 la\u0219i o directiv\u0103 goal\u0103 DenyUsers), ghilimele ne\u00eenchise \u0219i specificarea mai multor simboluri \u00ab=\u00bb.\n
C\u00e2nd utiliza\u021bi \u00eenregistr\u0103rile DNS SSHFP pentru verificarea cheilor, ssh acum verific\u0103 toate \u00eenregistr\u0103rile corespunz\u0103toare, nu doar cele care con\u021bin un anumit tip de semn\u0103tur\u0103 digital\u0103.\n
\u00cen ssh-keygen, la generarea unei chei FIDO cu op\u021biunea -Ochallenge pentru hash, acum se utilizeaz\u0103 un strat \u00eencorporat, nu instrumentele libfido2, ceea ce permite folosirea secven\u021belor de provocare de dimensiuni mai mari sau mai mici de 32 de octe\u021bi.\n
\u00cen sshd, la procesarea directivei environment=\u00ab\u2026\u00bb \u00een fi\u0219ierele authorized_keys acum este acceptat\u0103 prima potrivire \u0219i exist\u0103 o limit\u0103 de 1024 de nume de variabile de mediu. <\/ul>\n
Dezvoltatorii OpenSSH au avertizat, de asemenea, cu privire la trecerea unor algoritmi la categoria celor \u00eenvechi\u021bi, care utilizeaz\u0103 hash-uri SHA-1, din cauza cre\u0219terii eficien\u021bei atacurilor prin coliziune cu prefix dat (costul pentru ob\u021binerea unei coliziuni fiind estimat la aproximativ 50 de mii de dolari). \u00cen urm\u0103toarea versiune, se preconizeaz\u0103 dezactivarea, \u00een mod implicit, a utiliz\u0103rii algoritmului de semn\u0103tur\u0103 digital\u0103 cu cheie public\u0103 «ssh-rsa», men\u021bionat \u00een RFC-ul original pentru protocolul SSH \u0219i care r\u0103m\u00e2ne pe larg folosit \u00een practic\u0103. <\/p>\n
Pentru a verifica utilizarea ssh-rsa \u00een sistemele proprii, se poate \u00eencerca conectarea prin ssh cu op\u021biunea «-oHostKeyAlgorithms=-ssh-rsa». Dezactivarea semn\u0103turilor digitale «ssh-rsa» \u00een mod implicit nu \u00eenseamn\u0103 o abandonare total\u0103 a utiliz\u0103rii cheilor RSA, deoarece, pe l\u00e2ng\u0103 SHA-1, protocolul SSH permite utilizarea altor algoritmi de generare a hash-urilor. \u00cen special, pe l\u00e2ng\u0103 «ssh-rsa», r\u0103m\u00e2ne posibilitatea utiliz\u0103rii leg\u0103turilor «rsa-sha2-256» (RSA\/SHA256) \u0219i «rsa-sha2-512» (RSA\/SHA512). <\/p>\n