OpenSSH 10.1: Oznámená nová správa DSCP a zastarávanie SHA1 SSHFP

OpenSSH 10.1 je teraz k dispozícii a prináša zmeny v spracovaní DSCP, bezpečnostné opravy a plány na zastaranie SHA1 SSHFP.

Projekt OpenSSH, vyvíjaný a udržiavaný pod záštitou OpenBSD, oznámil vydanie OpenSSH 10.1, široko používaného bezpečného nástroja na vzdialené prihlásenie a prenos súborov cez šifrované pripojenia. Teraz je k dispozícii na stiahnutie na jeho oficiálnych zrkadlových serveroch.

Kľúčovou zmenou v tomto vydaní je nadchádzajúce zastaranie DNS záznamov SHA1 SSHFP, ktoré budú čoskoro ignorované kvôli slabinám algoritmu SHA1. Odteraz bude ssh-keygen -r generovať iba SSHFP záznamy založené na SHA256.

OpenSSH 10.1 tiež zavádza upozornenie na ne-postkvantové výmeny kľúčov, poukazujúc na riziko útokov typu „ulož teraz, dešifruj neskôr“. Toto správanie je riadené novou možnosťou WarnWeakCrypto, ktorá je predvolene zapnutá.

V tejto verzii sa tiež objavila menšia bezpečnostná oprava. Zabraňuje zahrnutiu riadiacich znakov do užívateľských mien zadávaných cez nedôveryhodné SSH príkazové riadky alebo URI, čím rieši potenciálny problém so shell injection, keď bola konfigurácia ProxyCommand nastavená na použitie rozšírení užívateľských mien.

Táto verzia prináša významné zmeny DSCP (IPQoS). Interaktívna SSH prevádzka sa teraz predvolene nastavuje do triedy Expedited Forwarding pre lepšiu latenciu, zatiaľ čo neinteraktívna prevádzka, ako sú SFTP prenosy, používa systémové predvolené nastavenie. Okrem toho sú staršie IPv4 ToS kľúčové slová ako lowdelay, reliability a throughput teraz ignorované a nahradené modernými DSCP označeniami.

Na strane ssh-agenta teraz ukladá svoje sokety do ~/.ssh/agent namiesto /tmp, čím sa zvyšuje bezpečnosť na obmedzených systémoch. Okrem toho automaticky čistí staré sokety a môže čoskoro po ich vypršaní odstraňovať expirované certifikáty.

Medzi ďalšie pozoruhodné zmeny patrí pridanie podpory kľúčov ed25519 pre tokeny PKCS#11, nová možnosť RefuseConnection v ssh_config a zvýšenie maximálnej veľkosti konfigurácie z 256 KB na 4 MB. Táto verzia tiež rieši oneskorenia s X klientmi, zlepšuje diagnostiku pri načítavaní kľúčov a odstraňuje niekoľko únikov pamäte.

Nakoniec prenosná verzia obsahuje menšie opravy kompatibility pre Linux, macOS a BSD, plus nový nástroj GNOME 40+ askpass. Tiež zlepšuje spracovanie PAM, sandboxovanie pomocou seccomp a podporu volania systému futex na 32-bitových systémoch.

Pre viac informácií pozrite si zoznam zmien.