{"id":101069,"date":"2021-08-20T22:22:44","date_gmt":"2021-08-20T20:22:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-openssh-8-7"},"modified":"2021-08-20T22:22:44","modified_gmt":"2021-08-20T20:22:44","slug":"reliz-openssh-8-7","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/reliz-openssh-8-7","title":{"rendered":"Utgivning av OpenSSH 8.7","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Efter fyra m\u00e5naders utveckling har OpenSSH 8.7 sl\u00e4ppts, en \u00f6ppen implementation av klient och server f\u00f6r arbete med protokollen SSH 2.0 och SFTP. <\/p>\n
Huvudsakliga f\u00f6r\u00e4ndringar: <\/p>\n
\n
I scp har en experimentell datatransferl\u00e4ge med anv\u00e4ndning av SFTP-protokollet ist\u00e4llet f\u00f6r det traditionellt anv\u00e4nda SCP\/RCP-protokollet. SFTP anv\u00e4nder mer f\u00f6ruts\u00e4gbara metoder f\u00f6r namnbehandling och hanterar inte glob-m\u00f6nster genom shell p\u00e5 den andra v\u00e4rden, vilket skapar s\u00e4kerhetsproblem. F\u00f6r att aktivera SFTP i scp f\u00f6resl\u00e5s flaggan «-s», men i framtiden planeras det att g\u00e5 \u00f6ver till detta protokoll som standard.\n
I sftp-server har protokollutvidgningar f\u00f6r SFTP implementerats f\u00f6r att avsl\u00f6ja s\u00f6kv\u00e4gar ~\\\/ och ~user\\\/, vilket \u00e4r n\u00f6dv\u00e4ndigt f\u00f6r scp.\n
I scp-verktyget har beteendet f\u00f6r\u00e4ndrats vid kopiering av filer mellan tv\u00e5 fj\u00e4rrv\u00e4rdar (till exempel «scp host-a:/path host-b:»), vilket nu som standard utf\u00f6rs via en mellanliggande lokal v\u00e4rd, som vid angivande av flaggan «-3». Denna metod f\u00f6rhindrar \u00f6verf\u00f6ring av on\u00f6diga legitimationer till den f\u00f6rsta v\u00e4rden och trippla tolkningar av filnamn i shell (p\u00e5 k\u00e4llan, mottagaren och det lokala systemet), samt g\u00f6r det m\u00f6jligt att anv\u00e4nda alla autentiseringsmetoder vid kontakt med fj\u00e4rrv\u00e4rdar via SFTP, inte bara icke-interaktiva metoder. F\u00f6r att \u00e5terst\u00e4lla det gamla beteendet har alternativet «-R» lagts till.\n
I ssh har inst\u00e4llningen ForkAfterAuthentication lagts till, som motsvarar flaggan «-f».\n
I ssh har inst\u00e4llningen StdinNull lagts till, som motsvarar flaggan «-n».\n
I ssh har inst\u00e4llningen SessionType lagts till, vilket g\u00f6r det m\u00f6jligt att st\u00e4lla in l\u00e4gen som motsvarar flaggorna «-N» (utan session) och «-s» (subsystem).\n
I ssh-keygen till\u00e5ts det nu att ange giltighetstiden f\u00f6r nycklar i nyckelfiler.\n
I ssh-keygen har flaggan «-Oprint-pubkey» lagts till f\u00f6r att skriva ut den fullst\u00e4ndiga offentliga nyckeln som en del av sshsig-signaturen.\n
I b\u00e5de ssh och sshd, b\u00e5de klient och server, har en striktare parser f\u00f6r konfigurationsfiler inf\u00f6rts, d\u00e4r regler som liknar shell f\u00f6r bearbetning av citat, utrymmen och escape-tecken anv\u00e4nds. Den nya parsern sl\u00e4pper \u00e4ven inte tidigare antaganden, s\u00e5som att argument i alternativ hoppar \u00f6ver (till exempel g\u00e5r det inte l\u00e4ngre att l\u00e4mna direktivet DenyUsers tomt), oavslutade citat och angivande av flera tecken «=».\n
Vid anv\u00e4ndning av DNS-poster SSHFP vid verifiering av nycklar kontrollerar ssh nu alla matchande poster, inte bara de som inneh\u00e5ller en viss typ av digital signatur.\n
I ssh-keygen, vid generering av FIDO-nyckel med alternativet -Ochallenge f\u00f6r hashning, anv\u00e4nds nu den inbyggda mellanlagringen ist\u00e4llet f\u00f6r libfido2, vilket m\u00f6jligg\u00f6r anv\u00e4ndning av challenge-sekvenser p\u00e5 mer eller mindre \u00e4n 32 byte.\n
I sshd, vid hantering av direktivet environment=»…» i filerna authorized_keys, accepteras nu den f\u00f6rsta \u00f6verensst\u00e4mmelsen och det finns en begr\u00e4nsning p\u00e5 1024 milj\u00f6variabelnamn. <\/ul>\n
Utvecklarna av OpenSSH har ocks\u00e5 varnat f\u00f6r att algoritmer som anv\u00e4nder SHA-1-hasher kommer att klassas som f\u00f6r\u00e5ldrade, p\u00e5 grund av den \u00f6kande effektiviteten i kollisioner med angivet prefix (kostnaden f\u00f6r att \u00e5stadkomma en kollision \u00e4r ber\u00e4knad till cirka 50 000 dollar). I n\u00e4sta version planeras det att som standard inaktivera m\u00f6jligheten att anv\u00e4nda algoritmen f\u00f6r digitala signaturer med \u00f6ppen nyckel \u00abssh-rsa\u00bb, som n\u00e4mns i det ursprungliga RFC-dokumentet f\u00f6r SSH-protokollet och som fortfarande \u00e4r utbredd i praktiken. <\/p>\n
F\u00f6r att kontrollera anv\u00e4ndningen av ssh-rsa i sina system kan man f\u00f6rs\u00f6ka ansluta via ssh med alternativet \u00ab-oHostKeyAlgorithms=-ssh-rsa\u00bb. Notera att inaktiveringen av digitala signaturer \u00abssh-rsa\u00bb som standard inte inneb\u00e4r en fullst\u00e4ndig avveckling av RSA-nycklar, eftersom SSH-protokollet till\u00e5ter anv\u00e4ndning av andra hash-algoritmer f\u00f6rutom SHA-1. Specifikt, f\u00f6rutom \u00abssh-rsa\u00bb kommer m\u00f6jligheten att anv\u00e4nda bindningar \u00abrsa-sha2-256\u00bb (RSA\/SHA256) och \u00abrsa-sha2-512\u00bb (RSA\/SHA512) att kvarst\u00e5. <\/p>\n