Bol vydaný OpenSSH 10.5, otvorená implementácia klienta a servera pre prácu s protokolmi SSH 2.0 a SFTP. Hlavné zmeny:
- Pre prevádzku prenosnej verzie OpenSSH je teraz potrebná podpora kryptografie založenej na eliptických krivkách (ECC – Elliptic Curve Cryptography) v knižnici libcrypto, vrátane podpory eliptickej krivky NISTP521. V implementáciách libcrypto z projektov LibreSSL, OpenSSL, BoringSSL a AWS LC je takáto podpora zapnutá predvolene.
- V utilite ssh-keygen pri obnove hesla k súkromným kľúčom pre tokeny FIDO bola implementovaná funkcia nastavenia flagov touch-required a verify-required, vyžadujúcich potvrdenie od používateľa.
- V utilite ssh bol zmenený poriadok aplikácie certifikátov pri autentifikácii pomocou verejných kľúčov — najprv sa teraz používajú FIDO kľúče, ktoré nevyžadujú akciu používateľa, a na poslednom mieste sa nachádzajú kľúče, ktoré žiadajú verifikáciu pomocou PIN kódu alebo biometrie.
- Pridaná príkaz „ssh -Z user“, ktorý zobrazuje kľúče v poradí ich využitia pri autentifikácii pomocou verejných kľúčov.
- Odstránené bezpečnostné problémy:
- Opravená nesprávna správa požiadaviek na viazanie relácie pri blokácii SSH Agenta, ktorá spôsobovala, že namiesto odmietania prístupu, SSH Agent umožňoval vzdialene vykonávať operácie, ktoré mali byť dostupné iba lokálne, ako je pridávanie PKCS#11 tokenov a používanie kľúčov viazaných na konkrétne servery.
- V ssh klientovi bolo odstránené potenciálne prístup k pamäti po jej uvoľnení (use-after-free), ktoré sa prejavovalo pri multiplexovaní SSH pripojení cez jeden socket v prípade pridania nového presmerovania portov v momente, keď klient stále čaká na servera odpoveď na otvorenie predchádzajúceho presmerovania.
- V sshd bolo zabezpečené správne uplatnenie obmedzení, určených cez flag „restrict“ v súbore authorized_keys, pre presmerované tunely.
Zdroj: opennet.ru
