Опубліковано випуск OpenSSH 10.5, відкритої реалізації клієнта та сервера для роботи за протоколами SSH 2.0 та SFTP. Основні зміни:
- Для роботи версії OpenSSH, що переноситься, тепер потрібна наявність підтримки криптографії на базі еліптичних кривих (ECC — Elliptic Curve Cryptography) в бібліотеці libcrypto, включаючи підтримку еліптичної кривої NISTP521. У реалізаціях libcrypto від проектів LibreSSL, OpenSSL, BoringSSL та AWS LC подібна підтримка включена за умовчанням.
- В утиліті ssh-keygen при скиданні пароля до закритих ключів для токенів FIDO реалізовано виставлення прапорів touch-required та verify-required, що вимагають отримання підтвердження від користувача.
- В утиліті ssh змінено порядок застосування сертифікатів при аутентифікації за відкритими ключами - в першу чергу тепер застосовуються FIDO-ключі, які не вимагають дій з боку користувача, а в останню чергу ключі, які вимагають верифікації за PIN-кодом або біометрією.
- Додано команду «ssh -Z user», яка виводить ключі в порядку їх використання для аутентифікації відкритих ключів.
- Усунено проблеми з безпекою:
- Виправлена некоректна обробка запитів на прив'язку сесії при блокуванні SSH Agent, що призводила до того, що замість відмови у доступі, SSH Agent дозволяв віддалено виконувати операції, які мали бути доступні лише локально, такі як додавання PKCS#11 токенів і використання ключів, прив'язаних в налаштуваннях до конкретних серверів.
- У ssh-клієнті усунено потенційне звернення до пам'яті після її звільнення (use-after-free), що виявляється при мультиплексуванні SSH-підключень через один сокет у разі додавання нового прокидання портів у момент, коли клієнт все ще чекає від сервера відповіді відкриття попереднього прокидання.
- У sshd налагоджено коректне застосування обмежень, заданих через прапор «restrict» у файлі authorized_keys, для тунелів, що перенаправляються.
Джерело: opennet.ru
