OpenSSH విడుదల 8.5

ఐదు నెలల అభివృద్ధి తర్వాత, OpenSSH 8.5 విడుదల, SSH 2.0 మరియు SFTP ప్రోటోకాల్‌లపై పనిచేయడానికి క్లయింట్ మరియు సర్వర్ యొక్క బహిరంగ అమలు.

ఓపెన్‌ఎస్‌ఎస్‌హెచ్ డెవలపర్‌లు అందించిన ఉపసర్గతో తాకిడి దాడుల యొక్క పెరిగిన సామర్థ్యం కారణంగా SHA-1 హాష్‌లను ఉపయోగించి అల్గారిథమ్‌ల యొక్క రాబోయే ఉపసంహరణ గురించి మాకు గుర్తు చేశారు (తాకిడిని ఎంచుకోవడానికి అయ్యే ఖర్చు సుమారుగా $50 వేలుగా అంచనా వేయబడింది). రాబోయే విడుదలలలో ఒకదానిలో, వారు “ssh-rsa” పబ్లిక్ కీ డిజిటల్ సిగ్నేచర్ అల్గారిథమ్‌ను ఉపయోగించే సామర్థ్యాన్ని డిఫాల్ట్‌గా నిలిపివేయాలని ప్లాన్ చేస్తున్నారు, ఇది SSH ప్రోటోకాల్ కోసం అసలు RFCలో పేర్కొనబడింది మరియు ఆచరణలో విస్తృతంగా ఉంది.

మీ సిస్టమ్‌లలో ssh-rsa వినియోగాన్ని పరీక్షించడానికి, మీరు “-oHostKeyAlgorithms=-ssh-rsa” ఎంపికతో ssh ద్వారా కనెక్ట్ చేయడానికి ప్రయత్నించవచ్చు. అదే సమయంలో, డిఫాల్ట్‌గా “ssh-rsa” డిజిటల్ సంతకాలను నిలిపివేయడం అంటే RSA కీల వినియోగాన్ని పూర్తిగా వదిలివేయడం కాదు, ఎందుకంటే SHA-1తో పాటు, SSH ప్రోటోకాల్ ఇతర హాష్ లెక్కింపు అల్గారిథమ్‌లను ఉపయోగించడానికి అనుమతిస్తుంది. ప్రత్యేకించి, “ssh-rsa”తో పాటు, “rsa-sha2-256” (RSA/SHA256) మరియు “rsa-sha2-512” (RSA/SHA512) బండిల్‌లను ఉపయోగించడం సాధ్యమవుతుంది.

కొత్త అల్గారిథమ్‌లకు పరివర్తనను సులభతరం చేయడానికి, OpenSSH 8.5 అప్‌డేట్‌హోస్ట్‌కీస్ సెట్టింగ్‌ని డిఫాల్ట్‌గా ప్రారంభించింది, ఇది క్లయింట్‌లు మరింత విశ్వసనీయమైన అల్గారిథమ్‌లకు స్వయంచాలకంగా మారడానికి అనుమతిస్తుంది. ఈ సెట్టింగ్‌ని ఉపయోగించి, ప్రత్యేక ప్రోటోకాల్ పొడిగింపు ప్రారంభించబడింది "[ఇమెయిల్ రక్షించబడింది]", ప్రామాణీకరణ తర్వాత, అందుబాటులో ఉన్న అన్ని హోస్ట్ కీల గురించి క్లయింట్‌కు తెలియజేయడానికి సర్వర్‌ని అనుమతిస్తుంది. క్లయింట్ ఈ కీలను దాని ~/.ssh/known_hosts ఫైల్‌లో ప్రతిబింబిస్తుంది, ఇది హోస్ట్ కీలను నవీకరించడానికి అనుమతిస్తుంది మరియు సర్వర్‌లో కీలను మార్చడాన్ని సులభతరం చేస్తుంది.

UpdateHostKeys యొక్క ఉపయోగం భవిష్యత్తులో తీసివేయబడే అనేక హెచ్చరికల ద్వారా పరిమితం చేయబడింది: కీ తప్పనిసరిగా UserKnownHostsFileలో సూచించబడాలి మరియు GlobalKnownHostsFileలో ఉపయోగించకూడదు; కీ తప్పనిసరిగా ఒకే పేరుతో ఉండాలి; హోస్ట్ కీ సర్టిఫికేట్ ఉపయోగించకూడదు; తెలిసిన_హోస్ట్‌లలో హోస్ట్ పేరుతో మాస్క్‌లను ఉపయోగించకూడదు; VerifyHostKeyDNS సెట్టింగ్ తప్పనిసరిగా నిలిపివేయబడాలి; UserKnownHostsFile పరామితి తప్పనిసరిగా సక్రియంగా ఉండాలి.

మైగ్రేషన్ కోసం సిఫార్సు చేయబడిన అల్గారిథమ్‌లలో RFC2 RSA SHA-256 ఆధారంగా rsa-sha512-8332/2 ఉన్నాయి (OpenSSH 7.2 నుండి మద్దతు ఉంది మరియు డిఫాల్ట్‌గా ఉపయోగించబడుతుంది), ssh-ed25519 (OpenSSH 6.5 నుండి మద్దతు ఉంది) మరియు ecdsa-sha2/n256 ఆధారిత RFC384 ECDSAలో (OpenSSH 521 నుండి మద్దతు ఉంది).

ఇతర మార్పులు:

• భద్రతా మార్పులు:
  • ssh-agentలో ఇప్పటికే విముక్తి పొందిన మెమరీ ప్రాంతాన్ని (డబుల్-ఫ్రీ) తిరిగి-విముక్తి చేయడం వల్ల ఏర్పడిన దుర్బలత్వం పరిష్కరించబడింది. OpenSSH 8.2 విడుదలైనప్పటి నుండి సమస్య ఉంది మరియు దాడి చేసే వ్యక్తి స్థానిక సిస్టమ్‌లోని ssh-ఏజెంట్ సాకెట్‌కు యాక్సెస్‌ను కలిగి ఉన్నట్లయితే సంభావ్యంగా ఉపయోగించుకోవచ్చు. దోపిడీని మరింత కష్టతరం చేసేది రూట్ మరియు అసలు వినియోగదారుకు మాత్రమే సాకెట్‌కు ప్రాప్యత ఉంటుంది. దాడి చేసేవారిచే నియంత్రించబడే ఖాతాకు లేదా దాడి చేసే వ్యక్తికి రూట్ యాక్సెస్ ఉన్న హోస్ట్‌కి ఏజెంట్ దారి మళ్లించబడటం అనేది చాలా సంభావ్య దాడి దృశ్యం.
  • sshd PAM సబ్‌సిస్టమ్‌కు వినియోగదారు పేరుతో చాలా పెద్ద పారామితులను పాస్ చేయకుండా రక్షణను జోడించింది, ఇది PAM (ప్లగ్ చేయదగిన ప్రామాణీకరణ మాడ్యూల్) సిస్టమ్ మాడ్యూల్‌లలోని దుర్బలత్వాలను నిరోధించడానికి మిమ్మల్ని అనుమతిస్తుంది. ఉదాహరణకు, Solaris (CVE-2020-14871)లో ఇటీవల కనుగొనబడిన రూట్ దుర్బలత్వాన్ని ఉపయోగించుకోవడానికి sshdని వెక్టర్‌గా ఉపయోగించకుండా మార్పు నిరోధిస్తుంది.
• అనుకూలత మార్పులను విచ్ఛిన్నం చేసే అవకాశం ఉంది:
  • ssh మరియు sshd లలో, క్వాంటం కంప్యూటర్‌లో ఊహించడానికి నిరోధకంగా ఉండే ప్రయోగాత్మక కీ మార్పిడి పద్ధతి పునఃరూపకల్పన చేయబడింది. క్వాంటం కంప్యూటర్‌లు సహజ సంఖ్యను ప్రధాన కారకాలుగా విడదీసే సమస్యను పరిష్కరించడంలో వేగంగా పని చేస్తాయి, ఇది ఆధునిక అసమాన ఎన్‌క్రిప్షన్ అల్గారిథమ్‌లకు ఆధారం మరియు క్లాసికల్ ప్రాసెసర్‌లపై సమర్థవంతంగా పరిష్కరించబడదు. ఉపయోగించిన పద్ధతి NTRU ప్రైమ్ అల్గారిథమ్‌పై ఆధారపడి ఉంటుంది, ఇది పోస్ట్-క్వాంటం క్రిప్టోసిస్టమ్‌ల కోసం అభివృద్ధి చేయబడింది మరియు X25519 ఎలిప్టిక్ కర్వ్ కీ మార్పిడి పద్ధతి. బదులుగా [ఇమెయిల్ రక్షించబడింది] పద్ధతి ఇప్పుడు గుర్తించబడింది [ఇమెయిల్ రక్షించబడింది] (sntrup4591761 అల్గోరిథం sntrup761 ద్వారా భర్తీ చేయబడింది).
  • ssh మరియు sshdలో, మద్దతు ఉన్న డిజిటల్ సిగ్నేచర్ అల్గారిథమ్‌లు ప్రకటించబడే క్రమం మార్చబడింది. ECDSAకి బదులుగా ED25519 ఇప్పుడు ముందుగా అందించబడింది.
  • ssh మరియు sshdలో, TCP కనెక్షన్‌ని స్థాపించే ముందు ఇంటరాక్టివ్ సెషన్‌ల కోసం సేవా పారామితుల యొక్క TOS/DSCP నాణ్యతను సెట్ చేయడం ఇప్పుడు జరుగుతుంది.
  • ssh మరియు sshdలో సాంకేతికలిపి మద్దతు నిలిపివేయబడింది [ఇమెయిల్ రక్షించబడింది], ఇది aes256-cbcకి సమానంగా ఉంటుంది మరియు RFC-4253 ఆమోదించబడటానికి ముందు ఉపయోగించబడింది.
  • డిఫాల్ట్‌గా, CheckHostIP పరామితి నిలిపివేయబడింది, దీని ప్రయోజనం చాలా తక్కువగా ఉంటుంది, కానీ దాని ఉపయోగం లోడ్ బ్యాలెన్సర్‌ల వెనుక ఉన్న హోస్ట్‌ల కోసం కీ భ్రమణాన్ని గణనీయంగా క్లిష్టతరం చేస్తుంది.
• క్లయింట్ చిరునామా ఆధారంగా హ్యాండ్లర్‌లను ప్రారంభించడం యొక్క తీవ్రతను పరిమితం చేయడానికి PerSourceMaxStartups మరియు PerSourceNetBlockSize సెట్టింగ్‌లు sshdకి జోడించబడ్డాయి. ఈ పారామితులు సాధారణ MaxStartups సెట్టింగ్‌తో పోలిస్తే, ప్రాసెస్ లాంచ్‌లపై పరిమితిని మరింత చక్కగా నియంత్రించడానికి మిమ్మల్ని అనుమతిస్తాయి.
• ssh మరియు sshdకి కొత్త LogVerbose సెట్టింగ్ జోడించబడింది, ఇది టెంప్లేట్‌లు, ఫంక్షన్‌లు మరియు ఫైల్‌ల ద్వారా ఫిల్టర్ చేయగల సామర్థ్యంతో లాగ్‌లోకి డంప్ చేయబడిన డీబగ్గింగ్ సమాచారాన్ని బలవంతంగా పెంచడానికి మిమ్మల్ని అనుమతిస్తుంది.
• sshలో, కొత్త హోస్ట్ కీని అంగీకరించినప్పుడు, కీతో అనుబంధించబడిన అన్ని హోస్ట్ పేర్లు మరియు IP చిరునామాలు ప్రదర్శించబడతాయి.
• హోస్ట్ కీలను గుర్తించేటప్పుడు తెలిసిన_హోస్ట్ ఫైల్ వినియోగాన్ని నిలిపివేయడానికి ssh UserKnownHostsFile=ఏమీ ఎంపికను అనుమతిస్తుంది.
• ssh కోసం ssh_configకి KnownHostsCommand సెట్టింగ్ జోడించబడింది, ఇది మీరు పేర్కొన్న కమాండ్ అవుట్‌పుట్ నుండి known_hosts డేటాను పొందడానికి అనుమతిస్తుంది.
• SOCKSతో రిమోట్‌ఫార్వర్డ్ ఎంపికను ఉపయోగిస్తున్నప్పుడు గమ్యాన్ని పరిమితం చేయడానికి మిమ్మల్ని అనుమతించడానికి ssh కోసం ssh_configకి PermitRemoteOpen ఎంపిక జోడించబడింది.
• FIDO కీల కోసం sshలో, ఒక సరికాని PIN కారణంగా డిజిటల్ సిగ్నేచర్ ఆపరేషన్ విఫలమైనప్పుడు మరియు వినియోగదారు PIN కోసం ప్రాంప్ట్ చేయబడనప్పుడు (ఉదాహరణకు, సరైన బయోమెట్రిక్ డేటాను పొందలేనప్పుడు మరియు పరికరం మాన్యువల్ పిన్ నమోదుకి తిరిగి వచ్చింది).
• sshd Linuxలో seccomp-bpf-ఆధారిత ప్రాసెస్ ఐసోలేషన్ మెకానిజంకు అదనపు సిస్టమ్ కాల్‌లకు మద్దతునిస్తుంది.
• contrib/ssh-copy-id యుటిలిటీ నవీకరించబడింది.

మూలం: opennet.ru