Nakon \u010detiri meseca razvoja, predstavljen je izlazak OpenSSH 8.7, otvorene implementacije klijenta i servera za rad po protokolima SSH 2.0 i SFTP. <\/p>\n
Glavne spremembe: <\/p>\n
\n
V scp je dodan eksperimentalni na\u010din prenosa podatkov z uporabo protokola SFTP namesto tradicionalno uporabljanega protokola SCP\/RCP. V SFTP se uporabljajo bolj predvidljive metode obdelave imen in ne uporablja se obdelava glob-templarjev prek lupine na drugi gostitelj, kar povzro\u010da te\u017eave z varnostjo. Za vklju\u010ditev SFTP v scp je predlagana zastavica «-s», v prihodnosti pa je na\u010drtovano, da bo ta protokol privzeto.\n
U sftp-server implementirane su ekstenzije protokola SFTP za otkrivanje putanja ~\/ i ~user\/, \u0161to je neophodno za scp.\n
V orodju scp je spremenjeno vedenje pri prenosu datotek med dvema oddaljenima gostiteljema (na primer, «scp host-a:\/path host-b:»), ki se zdaj privzeto izvaja prek posredni\u0161kega lokalnega gostitelja, podobno kot pri navedbi zastavice «-3». Ta pristop omogo\u010da izogibanje prenosu odve\u010dnih poverilnic na prvi gostitelj in trojnemu razlaganju imen datotek v lupini (na strani vira, prejemnika in lokalnega sistema), poleg tega pa pri uporabi SFTP omogo\u010da uporabo vseh metod avtentikacije dostopa do oddaljenih gostiteljev, ne le neinteraktivnih metod. Za obnovitev prej\u0161njega vedenja je dodana mo\u017enost «-R».\n
V ssh je dodana nastavitev ForkAfterAuthentication, ki ustreza zastavici «-f».\n
V ssh je dodana nastavitev StdinNull, ki ustreza zastavici «-n».\n
V ssh je dodana nastavitev SessionType, ki omogo\u010da nastavitev na\u010dinov, ki ustrezajo zastavicama «-N» (brez seje) in «-s» (podsystem).\n
U ssh-keygen, u datotekama sa klju\u010devima dozvoljeno je navo\u0111enje vremenskog intervala va\u017eenja klju\u010da.\n
V ssh-keygen je dodana zastavica «-Oprint-pubkey» za izpis celotnega javnega klju\u010da v okviru podpisa sshsig.\n
V ssh in sshd, tako odjemalec kot stre\u017enik, sta bila prenesena na uporabo bolj strogega parserja datoteke za konfiguracijo, kjer se uporabljajo pravila obdelave citatov, presledkov in escape-simbolov, podobna lupini. Nov parser tudi ne spregleda dotedanjih predpostavk, kot so preskakovanje argumentov v mo\u017enostih (na primer, zdaj ni mogo\u010de pustiti praznih direktiv DenyUsers), neurejeni citati in navajanje ve\u010d simbolov «=».\n
Pri uporabi DNS zapisov SSHFP pri preverjanju klju\u010dev, ssh zdaj preverja vse ujemajo\u010de se zapise, ne le tiste, ki vsebujejo dolo\u010den tip digitalnega podpisa.\n
V ssh-keygen pri generiranju FIDO klju\u010da z uporabo mo\u017enosti -Ochallenge za hashiranje zdaj uporabljamo vgrajeno plast namesto orodij libfido2, kar omogo\u010da uporabo zaporedij izzivov, ki so ve\u010dja ali manj\u0161a od 32 bajtov.\n
V sshd pri obdelavi direktive environment=»…» v datotekah authorized_keys zdaj sprejme prvo ujemanje in velja omejitev na 1024 imen spremenljivk okolja. <\/ul>\n
Razvijalci OpenSSH so prav tako opozorili na prehod na zastarele algoritme, ki uporabljajo hashe SHA-1, zaradi pove\u010dane u\u010dinkovitosti kolizijskih napadov s predhodno dolo\u010denim predponom (stro\u0161ek iskanja kolizije je ocenjen na pribli\u017eno 50.000 dolarjev). V naslednji razli\u010dici naj bi privzeto onemogo\u010dili mo\u017enost uporabe algoritma digitalnega podpisa z javnim klju\u010dem «ssh-rsa», ki je omenjen v izvirnem RFC za protokol SSH in ostaja \u0161iroko raz\u0161irjen v praksi. <\/p>\n
Za preverjanje uporabe ssh-rsa v svojih sistemih lahko poskusite povezati prek ssh z mo\u017enostjo «-oHostKeyAlgorithms=-ssh-rsa». Pri tem privzeto onemogo\u010denje digitalnih podpisov «ssh-rsa» ne pomeni popolnega prenehanja uporabe RSA-klju\u010de, saj protokol SSH poleg SHA-1 dopu\u0161\u010da uporabo drugih algoritmov za izra\u010dunavanje hashov. Zlasti poleg «ssh-rsa» bo ostala mo\u017enost uporabe vezav «rsa-sha2-256» (RSA\/SHA256) in «rsa-sha2-512» (RSA\/SHA512). <\/p>\n