Objavljen je OpenSSH 10.1, otvorena implementacija klijenta i servera za rad sa SSH 2.0 i SFTP protokolima. <\/p>\n
Glavne spremembe: <\/p>\n
\n
Upravljen je problem z varnostjo, ki napadalcu omogo\u010da vstavljanje poizvedb shell preko manipulacij s posebnimi znaki v uporabni\u0161kih imenih ali URI-ju, ki bi lahko bili izvedeni ob zagonu ukaza, dolo\u010denega preko nastavitve «ProxyCommand» in ki vsebuje zamenjavo «%u». Problem vpliva samo na sisteme, ki ob zagonu ssh omogo\u010dajo zamenjavo imen uporabnikov ali URI-jev, pridobljenih iz nezaupljivih virov.\n
Za blokiranje tak\u0161nih napadov je prepovedana uporaba nadzornih znakov v uporabni\u0161kih imenih, dolo\u010denih pri zagonu v ukazni vrstici ali vstavljenih v nastavitve preko %-zaporedij. Prav tako je prepovedana uporaba ni\u010delnega znaka («\0») v URI ssh:\/\/. Izjema velja le za imena, dolo\u010dena v konfiguracijski datoteki (domneva se, da so ti podatki zanesljivi). <\/p>\n
U ssh i ssh-agent alatima dodata je podr\u0161ka za ed25519 klju\u010deve pohranjene u PKCS#11 tokenima.\n
V konfiguracijsko datoteko ssh_config je dodana nastavitev RefuseConnection, pri obravnavi katere v aktivnem razdelku pride do konca procesa z izhodno sporo\u010dilo o napaki brez poskusa vzpostavitve povezave. Match host foo RefuseConnection «gostitelj foo se ne uporablja ve\u010d, pove\u017eite se z gostiteljem bar»\n
U ssh i sshd dodani su obradnici signala SIGINFO za logovanje informacija o sesiji i aktivnom kanalu.\n
U sshd, u slu\u010daju odbijanja autentifikacije korisnika na osnovu sertifikata, obezbe\u0111eno je logovanje ne samo uzroka blokiranja pristupa, ve\u0107 i iscrpnih informacija za identifikaciju problemati\u010dnog sertifikata.\n
U sshd dodata je provera broja X11 prikaziva\u010da u odnosu na pomeraj naveden u direktivi X11DisplayOffset.\n
Nabor enotnih testov je dodatno obogaten z mo\u017enostmi merjenja zmogljivosti, ki se aktivirajo pri zagonu «make UNITTEST_BENCHMARK=yes» v OpenBSD ali «make unit-bench» v drugih sistemih. <\/ul>\n
Promene koje potencijalno naru\u0161avaju unazadnu kompatibilnost: <\/p>\n
\n
V ssh je dodana opozorila pri uporabi algoritma za usklajevanje klju\u010dev, ki ni odporen na napade s kvantnimi ra\u010dunalniki, ob vzpostavitvi povezave. Opozorilo je dodano zaradi tveganja morebitnih napadov v prihodnosti, ki bi uporabljali prej\u0161nje shranjene posnetke prometa. Za izklop opozorila je dodana mo\u017enost WarnWeakCrypto v ssh_config. Match host unsafe.example.com WarnWeakCrypto no\n
V ssh in sshd je bila obdelava parametrov kakovosti storitev DSCP (IPQoS) bistveno spremenjena. Za interaktivni promet se zdaj privzeto dodeli razred EF (Expedited Forwarding) za prednostno obdelavo v brez\u017ei\u010dnih omre\u017ejih. Za neinteraktivni promet se dodeli privzeti razred, ki se uporablja v operacijskem sistemu. Razred prometa je mogo\u010de spremeniti z nastavitvijo IPQoS v ssh_config in sshd_config. Parametri ToS (type-of-service) za IPv4 v direktivi IPQoS so bili razgla\u0161eni za zastarele (DSCP je nadomestil ToS).\n
V ssh-add je pri dodajanju certifikata v ssh-agent implementirano nastavitev \u010dasa veljavnosti certifikata na vrednost, ki je 5 minut dalj\u0161a od roka veljavnosti certifikata (za samodejno odstranjevanje poteklega certifikata). Za onemogo\u010danje tega vedenja je v ssh-add dodana mo\u017enost «-N».\n
Podpora za klju\u010de XMSS, ki je bila ozna\u010dena kot eksperimentalna in nikoli ni bila privzeto vklju\u010dena, je bila odstranjena.\n
Unix vti\u010di, ki jih ustvarita ssh-agent in sshd, so bili preneseni iz imenika \/tmp v ~\/.ssh\/agent, kar zagotavlja, da ni mogo\u010de dostopati do teh vti\u010dev iz izoliranih procesov, ki jim je omejen dostop do datote\u010dnega sistema, vendar imajo dostop do \/tmp. <\/ul>\n