ProHoster >> Blog >> Lajmet e internetit >> Lëshimi i OpenSSH 8.3 me zgjidhjen e skllavërisë në scp

Lëshimi i OpenSSH 8.3 me zgjidhjen e skllavërisë në scp

Pas tre muaj zhvillimi është paraqitur lëshimi OpenSSH 8.3, implementimi i hapur i klientit dhe serverit për të punuar me protokollet SSH 2.0 dhe SFTP.

Në këtë lëshim të ri, është shtuar mbrojtja nga një sulm mbi scp, që i lejon serverit të dërgojë emra skedarësh të ndryshëm nga ata të kërkuar (në ndryshim nga shkëputja e kaluar, sulmi nuk lejon ndryshimin e katalogut të zgjedhur nga përdoruesi ose maskës glob). Kujtojmë se në SCP, serveri merr vendim se cilat skedarë dhe katalogë do të dërgohen klientit, ndërsa klienti vetëm kontrollon saktësinë e emrave të objektit të kthyer. Problemi i zbuluar është se nëse thirrja sistemike utimes përfundon me një gabim, përmbajtja e skedarit interpretohet si metadata e skedarit.

Ky veçori, kur lidhet me një server të kontrolluar nga një haker, mund të përdoret për të ruajtur në sistemin e skedarëve emra të ndryshëm skedarësh dhe përmbajtje të ndryshme kur kopjohen me scp në konfigurime që shkaktojnë gabim gjatë thirrjes utimes (për shembull, kur utimes ndalohet nga politika SELinux ose filtri i thirrjeve sistemike). E mundësia e sulmeve reale konsiderohet e ulët, pasi në konfigurime tipike thirrja utimes nuk rezulton në gabim. Për më tepër, sulmi nuk kalon pa u vënë re - kur thirret scp shfaqet një mesazh gabimi në dërgimin e të dhënave.

Ndryshimet e përgjithshme:

  • NĂ« sftp, Ă«shtĂ« ndalur trajtimi i argumentit "-1" sipas analogjisĂ« me ssh dhe scp, i cili mĂ« parĂ« pranoheshin, por injoroheshin;
  • NĂ« sshd, me pĂ«rdorimin e IgnoreRhosts tani ofrohen tri mundĂ«si: "yes" - injoro rhosts/shosts, "no" - merr parasysh rhosts/shosts, dhe "shosts-only" - lejo " .shosts", por ndalo ".rhosts";
  • NĂ« ssh Ă«shtĂ« siguruar trajtimi i zĂ«vendĂ«simit %TOKEN nĂ« konfigurimet LocalFoward dhe RemoteForward, qĂ« pĂ«rdoren pĂ«r pĂ«rcjelljen e soketeve Unix;
  • ËshtĂ« lejuar ngarkimi i çelĂ«save publikĂ« nga njĂ« skedar i paencryptuar me çelĂ«s privat, nĂ«se nuk ka njĂ« skedar tĂ« veçantĂ« me çelĂ«sin publik;
  • Me prani tĂ« libcrypto nĂ« sistem, nĂ« ssh dhe sshd tani pĂ«rdoret implementimi i algoritmit chacha20 nga kjo bibliotekĂ«, nĂ« vend tĂ« implementimit tĂ« integruar portativ, qĂ« Ă«shtĂ« mĂ« i ngadalshĂ«m nĂ« performancĂ«;
  • Ă«shtĂ« realizuar mundĂ«sia e dump-it tĂ« pĂ«rmbajtjes sĂ« listĂ«s binare tĂ« çertifikatave tĂ« revokuara gjatĂ« ekzekutimit tĂ« komandĂ«s "ssh-keygen -lQf /path";
  • nĂ« versionin portativ Ă«shtĂ« realizuar pĂ«rcaktimi i sistemeve, nĂ« tĂ« cilat sinjalet me opsionin SA_RESTART ndĂ«rpresin funksionimin e select;
  • JanĂ« zgjidhur problemet me ndĂ«rtimin nĂ« sistemet HP/UX dhe AIX;
  • JanĂ« eliminuar problemet me ndĂ«rtimin e sigurisĂ« seccomp nĂ« disa konfigurime Linux;
  • Ă«shtĂ« pĂ«rmirĂ«suar pĂ«rcaktimi i bibliotekĂ«s libfido2 dhe janĂ« zgjidhur problemet me ndĂ«rtimin me opsionin "—with-security-key-builtin".

Zhvilluesit e OpenSSH gjithashtu njëherë tjetër paralajmëruan për kalimin e ardhshëm të algoritmeve të vjetra, që përdorin hash SHA-1, në lidhje me rritjen e efikasitetit të sulmeve të kolizionit me një prefiks të caktuar (kostoja e gjenerimit të një kolizioni vlerësohet rreth 45 mijë dollarë). Në një nga botimet e ardhshme, planifikohet të shkëputet për default mundësia e përdorimit të algoritmit të nënshkrimit digjital me çelës publik «ssh-rsa», i cili përmendet në RFC origjinal për protokollet SSH dhe mbetet i përhapur gjerësisht në praktikë (për të kontrolluar përdorimin e ssh-rsa në sistemet e tij, mund të provohet lidhja me ssh me opsionin «-oHostKeyAlgorithms=-ssh-rsa»).

Për të lehtësuar kalimin në algoritme të reja në OpenSSH, në një nga versionet e ardhshme do të aktivizohet si parazgjedhje konfigurimi UpdateHostKeys, i cili do të lejojë automatikisht kalimin e klientëve në algorithmat më të sigurta. Mes algoritmeve të rekomanduara për migrim janë përmendur rsa-sha2-256/512 në bazë të RFC8332 RSA SHA-2 (i mbështetur nga OpenSSH 7.2 dhe përdorur si parazgjedhje), ssh-ed25519 (i mbështetur nga OpenSSH 6.5) dhe ecdsa-sha2-nistp256/384/521 në bazë të RFC5656 ECDSA (i mbështetur nga OpenSSH 5.7).

Deri në lëshimin e kaluar, "ssh-rsa" dhe "diffie-hellman-group14-sha1" janë hequr nga lista CASignatureAlgorithms, që përcakton algoritmet e pranueshme për nënshkrimin e çertifikatave të reja, pasi përdorimi i SHA-1 në çertifikata është i lidhur me rreziqe të tjera për shkak të faktit se sulmuesi ka kohë të pakufizuar për të kërkuar kolizione për një çertifikate ekzistuese, ndërsa koha e sulmit mbi çelësat e hostit është e kufizuar nga skadimi i lidhjes (LoginGraceTime).

Burimi: opennet.ru

Bli njĂ« hosting tĂ« besueshĂ«m pĂ«r faqet me mbrojtje DDoS, VPS VDS serverĂ« đŸ”„ Bli njĂ« hosting tĂ« besueshĂ«m pĂ«r faqet me mbrojtje DDoS, VPS VDS serverĂ« | ProHoster