ProHoster > Blog > Lajmet e internetit > Lëshimi i OpenSSH 8.3 me rregullimin e dobësisë në scp

Lëshimi i OpenSSH 8.3 me rregullimin e dobësisë në scp

Pas tre muajsh zhvillimi u paraqit lëshimi OpenSSH 8.3, implementimi të hapur të klientit dhe serverit për punë sipas protokolleve SSH 2.0 dhe SFTP.

Në këtë version të ri është shtuar mbrojtja nga sulmi në scp, e cila lejon serverin të transferojë emra të tjerë skedash që dallojnë nga ato të kërkuara (ndryshe nga vulnerabiliteti i mëparshëm, sulmi nuk lejon të ndryshohet katalogu i zgjedhur nga përdoruesi ose maska glob). Kujtojmë se në SCP serveri merr vendimin se cilat skedarë dhe katalogë të dërgohen te klienti, ndërsa klienti thjesht kontrollon saktësinë e emrave të objektit të kthyer. Thelbi i problemit të identifikuar është se nëse thirrja sistemike utimes përfundon me gabim, përmbajtja e skedarit interpretohet si meta të skedarit.

Ky veçori gjatĂ« lidhjes me njĂ« server tĂ« kontrolluar nga njĂ« sulmues, mund tĂ« pĂ«rdoret pĂ«r tĂ« kursyer nĂ« sistemin e skedarĂ«ve tĂ« pĂ«rdoruesit emra tĂ« tjerĂ« skedarĂ«sh dhe pĂ«rmbajtje tĂ« tjera kur kopjohen pĂ«rmes scp nĂ« konfigurime qĂ« çojnĂ« nĂ« dĂ«shtim nĂ« thirrjen utimes (p.sh., kur utimes ndalohet nga politika SELinux ose filtri i thirrjeve sistemike). Probabiliteti i zhvillimit tĂ« sulmeve reale vlerĂ«sohet si minimal, pasi nĂ« konfigurime tipike thirrja utimes nuk pĂ«rfundon me dĂ«shtim. PĂ«r mĂ« tepĂ«r, sulmi nuk kalon pa u vĂ«nĂ« re — gjatĂ« thirrjes scp tregohet njĂ« gabim nĂ« transferimin e tĂ« dhĂ«nave.

Ndryshime të përgjithshme:

  • NĂ« sftp Ă«shtĂ« ndĂ«rprerĂ« trajtimi i argumentit "-1" sipas analogjisĂ« me ssh dhe scp, tĂ« cilin mĂ« parĂ« e pranonim, por e injoronim;
  • NĂ« sshd kur pĂ«rdoret IgnoreRhosts tani ofrohen tre opsione pĂ«rzgjedhjeje: "yes" — injoroni rhosts/shosts, "no" — merrni parasysh rhosts/shosts dhe "shosts-only" — lejoni " .shosts ", por ndaloni " .rhosts ";
  • NĂ« ssh sigurohet trajtimi i zĂ«vendĂ«simit %TOKEN nĂ« cilĂ«simet LocalFoward dhe RemoteForward, tĂ« cilat pĂ«rdoren pĂ«r tĂ« ri-direktuar soket e Unix-it;
  • Lejohet ngarkimi i çelĂ«save publikĂ« nga njĂ« skedar i dezifruar me çelĂ«s privat, nĂ«se nuk ka ndonjĂ« skedar tĂ« veçantĂ« me çelĂ«s publik;
  • NĂ«se ka nĂ« sistem libcrypto, ssh dhe sshd tani pĂ«rdorin implementimin e algoritmit chacha20 nga kjo bibliotekĂ«, nĂ« vend tĂ« implementimit tĂ« ngjashĂ«m qĂ« ishte mĂ« i ngadalshĂ«m;
  • ËshtĂ« realizuar mundĂ«sia e dumpimit tĂ« pĂ«rmbajtjes sĂ« listĂ«s binare tĂ« certifikatave tĂ« tĂ«rhequra gjatĂ« ekzekutimit tĂ« komandĂ«s "ssh-keygen -lQf /path";
  • NĂ« versionin portativ Ă«shtĂ« realizuar pĂ«rcaktimi i sistemeve ku sinjalet me opsionin SA_RESTART ndĂ«rpresin punĂ«n e select;
  • JanĂ« zgjidhur problemet me ndĂ«rtimin nĂ« sistemet HP/UX dhe AIX;
  • JanĂ« eliminuar problemet me ndĂ«rtimin e seccomp sandbox nĂ« disa konfiguracione Linux;
  • ËshtĂ« pĂ«rmirĂ«suar identifikimi i bibliotekĂ«s libfido2 dhe janĂ« zgjidhur problemet me ndĂ«rtimin me opsionin "--with-security-key-builtin".

Zhvilluesit e OpenSSH gjithashtu e njoftuan sërish për kalimin e ardhshëm në statusin e deprecated për algoritmet që përdorin hashes SHA-1, lidhur me përmirësimin e efikasitetit të sulmeve me kolizion me prefiks të caktuar (kostoja e gjenerimit të kolizionit është e vlerësuar rreth 45 mijë dollarë). Në një nga publikimet e afërta planifikohet që të deaktivizohet me parazgjedhje mundësia e përdorimit të algoritmit të nënshkrimit dixhital me çelësa publikë «ssh-rsa», i cili përmendet në RFC origjinal për protokollin SSH dhe vazhdon të jetë i përhapur në praktikë (për të verifikuar përdorimin e ssh-rsa në sistemet e tij, mund të provoni të lidhni nëpërmjet ssh me opsionin «-oHostKeyAlgorithms=-ssh-rsa»).

Për të lehtësuar kalimin në algoritmet e reja në OpenSSH, në një nga versionet e ardhshme, do të jetë e mundur të aktivizohet parazgjedhur konfigurimi UpdateHostKeys, i cili do të lejojë automatikisht ndërrimin e klientëve në algoritme më të sigurta. Mes algoritmeve të rekomanduara për migrim, përmenden rsa-sha2-256/512 bazuar në RFC8332 RSA SHA-2 (e mbështetur nga OpenSSH 7.2 dhe përdoret parazgjedhur), ssh-ed25519 (e mbështetur nga OpenSSH 6.5) dhe ecdsa-sha2-nistp256/384/521 bazuar në RFC5656 ECDSA (e mbështetur nga OpenSSH 5.7).

Duke filluar nga versioni i kaluar, "ssh-rsa" dhe "diffie-hellman-group14-sha1" janë eliminuar nga lista e CASignatureAlgorithms, e cila përcakton algoritmet e lejuara për nënshkrimin dixhital të certifikatave të reja, pasi përdorimi i SHA-1 në certifikata paraqet një rrezik të shtuar për shkak se sulmuesi ka kohë të pakufizuar për të gjetur një kolizion për një certifikatë ekzistuese, ndërsa koha e sulmit ndaj çelësave të hostit është e kufizuar nga kohëzgjatja e lidhjes (LoginGraceTime).

Burimi: opennet.ru

Blini hosting tĂ« besueshĂ«m pĂ«r faqe interneti me mbrojtje nga DDoS, serverĂ« VPS VDS đŸ”„ Blini hosting tĂ« besueshĂ«m pĂ«r faqe interneti me mbrojtje nga DDoS, serverĂ« VPS VDS | ProHoster