Predstavljeno je izdanje OpenSSH 9.0, otvorene implementacije klijenta i servera za rad preko SSH 2.0 i SFTP protokola. U novoj verziji, scp alat je po defaultu prebačen na korišćenje SFTP-a umesto zastarelog SCP/RCP protokola.
U SFTP-u se primenjuju predvidljivije metode obrade imena, i ne koristi se obrada glob šablona u imenima datoteka preko shell-a na drugoj strani, što stvara probleme sa sigurnošću. Naime, prilikom korišćenja SCP i RCP, server odlučuje koje datoteke i direktorijumi će biti poslati klijentu, dok klijent samo proverava ispravnost vraćenih imena objekata, što u slučaju nedostatka adekvatnih provera na strani klijenta može strežniku omogućiti slanje drugih imena datoteka, različitih od traženih.
SFTP protokol nema pomenutih problema, ali ne podržava otkrivanje specijalnih puteva, kao što je „~/“. Da bi se rešila ova razlika, počevši od OpenSSH 8.7, u implementaciji SFTP servera podržava se proširenje protokola „expand-path@openssh.com“ za otkrivanje puteva ~/ i ~user/.
Prilikom korišćenja SFTP-a, korisnici se takođe mogu suočiti sa nekompatibilnošću izazvanom potrebom za dvostrukim eskapiranjem specijalnih simbola prilikom otkrivanja puteva u SCP i RCP zahtevima, kako bi se sprečila njihova interpretacija na udaljenoj strani. U SFTP-u ovo eskapiranje nije neophodno, a viška navodnika može dovesti do greške u prenosu podataka. Takođe, programeri OpenSSH-a su odbili da dodaju proširenje za ponavljanje ponašanja scp u ovom slučaju, pošto se dvostruko eskapiranje smatra nedostatkom koji nema smisla ponavljati.
Druge izmene u novom izdanju:
- U ssh i sshd po defaultu je uključen hibridni algoritam razmene ključeva „sntrup761x25519-sha512@openssh.com“ (ECDH/x25519 + NTRU Prime), otporan na napade kvantnim računarima i kombinovan s ECDH/x25519 kako bi se blokirali mogući problemi u NTRU Prime koji bi mogli nastati u budućnosti. U listi KexAlgorithms, koja definiše redosled odabira metoda razmene ključeva, pomenuti algoritam sada je stavljen na prvo mesto i ima prioritet nad ECDH i DH algoritmima.
Kvantni računalniki še niso dosegli ravni, ki bi omogočala razbitje tradicionalnih ključev, vendar uporaba hibridne zaščite omogoča zaščito uporabnikov pred napadi, povezanimi s shranjevanjem prestrežnih SSH-seans s pričakovanjem, da bodo lahko dešifrirani v prihodnosti, ko bodo na voljo potrebni kvantni računalniki.
- V sftp-server je bila dodana razširitev „copy-data“, ki omogoča kopiranje podatkov na strani strežnika, brez tranzitne pošiljke stranki, če sta izvorna in ciljana datoteka na isti strežnikom.
- V program sftp je bila dodana ukaz „cp“ za iniciacijo kopiranja datotek s strani stranke na strežniku.
Izvor: opennet.ru
