Po šestih mesecih razvoja izdanje , odprta implementacija odjemalca in strežnika za delo s protokoli SSH 2.0 in SFTP.
Nov izdaja pritegne posebno pozornost zaradi odprave ranljivosti, ki se nanaša na ssh, sshd, ssh-add in ssh-keygen. Težava je prisotna v kodi za obdelavo zaprti ključev tipa XMSS in omogoča napadalcu, da sproži prelivanje celoštevilske spremenljivke. Ranljivost je označena kot izkoriščena, vendar slabo uporabna, saj podpora za ključe XMSS spada med eksperimentalne funkcionalnosti, ki so privzeto onemogočene (v prenosni različici v autoconf niti ni predvidena možnost za vključitev XMSS).
Glavne spremembe:
- V ssh, sshd in ssh-agent koda, ki preprečuje obnovitev zasebnega ključa, ki se nahaja v pomnilniku, zaradi napadov preko stranskih kanalov, kot so , in . Zasebni ključi so zdaj šifrirani, ko so naloženi v pomnilnik in dešifrirani samo ob uporabi, medtem ko ostajajo šifrirani v preostalih trenutkih. S takšnim pristopom napadalcu uspešno obnovitev zaprtega ključa zahteva predhodno obnovitev naključno generiranega vmesnega ključa velikosti 16 kB, ki se uporablja za šifriranje glavnega ključa, kar je malo verjetno ob današnji pogostosti napak pri obnovitvi;
- V dodana eksperimentalna podpora poenostavljenemu sistemu ustvarjanja in preverjanja digitalnih podpisov. Digitalni podpisi se lahko ustvarjajo s pomočjo običajnih SSH ključev, shranjenih na disku ali v ssh-agent, in se preverjajo z uporabo seznama, podobnega authorized_keys . Digitalni podpis vključuje informacije o prostoru imen, da se prepreči zmedo pri uporabi v različnih domenah (na primer za email in datoteke);
- ssh-keygen je privzeto prešel na uporabo algoritma rsa-sha2-512 pri potrjevanju certifikatov z digitalnim podpisom na osnovi RSA ključa (pri delovanju v načinu CA). Takšni certifikati niso združljivi z različicami pred OpenSSH 7.2 (za zagotovitev združljivosti je potrebno prepisati tip algoritma, na primer s klicem „ssh-keygen -t ssh-rsa -s …“);
- V ssh je v izraz ProxyCommand omogočena podpora za razkrivanje zamenjave „%n“ (navedeno v naslovni vrstici gostitelja);
- V seznamih šifrirnih algoritmov za ssh in sshd lahko zdaj za vnos privzetih algoritmov uporabite simbol «^». Na primer, za dodajanje ssh-ed25519 na privzeti seznam lahko navedete «HostKeyAlgorithms ^ssh-ed25519»;
- V ssh-keygen je omogočen izhod priponke k ključu pri pridobivanju javnega ključa iz zasebnega;
- V ssh-keygen je dodana možnost uporabe zastavice «-v» pri izvajanju operacij iskanja ključev (na primer, «ssh-keygen -vF host»), kar vodi do izhoda jasne podpisa gostitelja;
- Dodana je možnost uporabe kot alternativnega formata za shranjevanje zasebnih ključev na disku. Privzeto se še naprej uporablja format PEM, PKCS8 pa je lahko koristen za dosego združljivosti s tretjimi aplikacijami.
Izvor: opennet.ru
