छह महीने के विकास के बाद ओपनएसएसएच 8.9 रिलीज की घोषणा की गई, जिसमें sshd में भेद्यता को ठीक करें जो संभावित रूप से प्रमाणीकरण के बिना पहुंच की अनुमति दे सकता है। समस्या प्रमाणीकरण कोड में एक पूर्णांक अतिप्रवाह के कारण होती है, लेकिन शोषण कोड में अन्य तार्किक त्रुटियों के संयोजन में ही संभव है।
अपने वर्तमान स्वरूप में, विशेषाधिकारों का विभाजन सक्षम होने पर भेद्यता का फायदा नहीं उठाया जा सकता है, चूंकि इसका प्रकटन विशेषाधिकार विभाजन ट्रैकिंग कोड पर की गई अलग-अलग जांचों द्वारा अवरुद्ध है।
साझा विशेषाधिकार मोड को डिफ़ॉल्ट रूप से 2002 में OpenSSH 3.2.2 के रूप में सक्षम किया गया था और 2017 के OpenSSH 7.5 के रिलीज़ के बाद से इसकी आवश्यकता है। इसके अतिरिक्त, संस्करण 6.5 (2014) के बाद से ओपनएसएसएच के पोर्टेबल संस्करणों में, पूर्णांक ओवरफ्लो से बचाने के लिए झंडे को शामिल करने के साथ संकलित करके भेद्यता को अवरुद्ध किया गया है।
ओपनएसएसएच 8.9 की मुख्य नई विशेषताएं
प्रस्तुत किए गए इस नए संस्करण में हम पा सकते हैं कि lOpenSSH का पोर्टेबल संस्करण अंतर्निहित sshd समर्थन को हटा देता है MD5 एल्गोरिथम का उपयोग करके पासवर्ड हैशिंग के लिए (बाहरी पुस्तकालयों जैसे libxcrypt को फिर से जोड़ने की अनुमति है)
ssh, sshd, ssh-add, और ssh-agent ssh-agent में जोड़ी गई कुंजियों के अग्रेषण और उपयोग को प्रतिबंधित करने के लिए एक सबसिस्टम लागू करते हैं।
सबसिस्टम आपको ऐसे नियम निर्धारित करने की अनुमति देता है जो यह निर्धारित करते हैं कि ssh-agent में कुंजियों का उपयोग कैसे और कहाँ किया जा सकता है. उदाहरण के लिए, एक कुंजी जोड़ने के लिए जिसका उपयोग केवल प्रमाणित करने के लिए किया जा सकता है जब कोई उपयोगकर्ता scylla.example.org होस्ट से कनेक्ट होता है, उपयोगकर्ता perseus होस्ट cetus.example.org से कनेक्ट होता है, और उपयोगकर्ता मीडिया होस्ट charybdis.example .org होस्ट से कनेक्ट होता है, एक मध्यवर्ती होस्ट scylla.example.org के माध्यम से पुनर्निर्देशित करना।
En ssh और sshd, KexAlgorithms सूची, जो उस क्रम को निर्धारित करता है जिसमें प्रमुख विनिमय विधियों का चयन किया जाता है, डिफ़ॉल्ट रूप से हाइब्रिड एल्गोरिथम "sntrup761x25519-sha512@openssh.com" जोड़ा गया है»(ईसीडीएच/x25519 + एनटीआरयू प्राइम), जो क्वांटम कंप्यूटरों में चयन के लिए प्रतिरोधी है। ओपनएसएसएच 8.9 में, इस बातचीत पद्धति को ईसीडीएच और डीएच विधियों के बीच जोड़ा गया था, लेकिन इसे अगले संस्करण में डिफ़ॉल्ट रूप से सक्षम करने की योजना है।
ssh-keygen, ssh और ssh-agent ने FIDO टोकन कुंजियों के संचालन में सुधार किया है डिवाइस सत्यापन के लिए उपयोग किया जाता है, जिसमें बायोमेट्रिक प्रमाणीकरण के लिए कुंजी भी शामिल है।
अन्य परिवर्तनों में से जो इस नए संस्करण में हैं:
- अनुमत नामों की सूची वाली फ़ाइल में उपयोगकर्ता नाम जांचने के लिए ssh-keygen में "ssh-keygen -Y match-principals" कमांड जोड़ा गया।
- एसएसएच-ऐड और एसएसएच-एजेंट एसएसएच-एजेंट में पिन-संरक्षित एफआईडीओ कुंजी जोड़ने की क्षमता प्रदान करते हैं (प्रमाणीकरण समय पर एक पिन प्रॉम्प्ट प्रदर्शित होता है)।
- ssh-keygen आपको हस्ताक्षर करने के दौरान हैश एल्गोरिथम (sha512 या sha256) चुनने की अनुमति देता है।
प्रदर्शन में सुधार करने के लिए, ssh और sshd नेटवर्क डेटा को सीधे आने वाले पैकेट बफर में पढ़ते हैं, स्टैक में मध्यवर्ती बफर को दरकिनार करते हैं। चैनल बफर में प्राप्त डेटा का प्रत्यक्ष प्लेसमेंट इसी तरह से लागू किया जाता है। - Ssh में, PubkeyAuthentication निर्देश ने समर्थित मापदंडों की सूची (हाँ|नहीं|अनबाउंड|होस्ट-बाउंड) का विस्तार किया है ताकि यह चुनने की क्षमता प्रदान की जा सके कि किस प्रोटोकॉल एक्सटेंशन का उपयोग करना है।
भविष्य के संस्करण में, scp उपयोगिता को बदलने की योजना है SFTP का उपयोग करने के लिए डिफ़ॉल्ट लीगेसी एससीपी/आरसीपी प्रोटोकॉल के बजाय. SFTP अधिक अनुमानित नाम प्रबंधन विधियों का उपयोग करता है और होस्ट के दूसरी तरफ फ़ाइल नामों पर ग्लोब पैटर्न के शेल प्रसंस्करण का उपयोग नहीं करता है, जो सुरक्षा समस्याएँ पैदा करता है।
विशेष रूप से, एससीपी और आरसीपी का उपयोग करते समय, सर्वर तय करता है कि क्लाइंट को कौन सी फाइलें और निर्देशिकाएं भेजनी हैं, और क्लाइंट केवल लौटाई गई वस्तुओं के नामों की शुद्धता की जांच करता है, जो क्लाइंट द्वारा उचित जांच के अभाव में अनुमति देता है। सर्वर अन्य फ़ाइल नामों को स्थानांतरित करने के लिए जो अनुरोध किए गए नामों से भिन्न हैं। SFTP प्रोटोकॉल में ये समस्याएँ नहीं हैं, लेकिन यह विशेष पथों के विस्तार का समर्थन नहीं करता है जैसे "~/
अंत में यदि आप इसके बारे में अधिक जानने में रुचि रखते हैं इस नए संस्करण के बारे में, आप विवरण देख सकते हैं निम्न लिंक पर जाकर।
लिनक्स पर ओपनएसएसएच 8.9 कैसे स्थापित करें?
जो लोग अपने सिस्टम पर OpenSSH के इस नए संस्करण को स्थापित करने में सक्षम होने के लिए इच्छुक हैं, अभी के लिए वे ऐसा कर सकते हैं इस के सोर्स कोड को डाउनलोड करना और अपने कंप्यूटर पर संकलन प्रदर्शन कर रहे हैं।
ऐसा इसलिए है क्योंकि नए संस्करण को अभी तक मुख्य लिनक्स वितरण के रिपॉजिटरी में शामिल नहीं किया गया है। स्रोत कोड प्राप्त करने के लिए, आप से कर सकते हैं निम्नलिखित लिंक.
डाउनलोड किया, अब हम निम्नलिखित कमांड के साथ पैकेज को अनज़िप करने जा रहे हैं:
tar -xvf openssh-8.9.tar.gz
हम निर्मित निर्देशिका दर्ज करते हैं:
cd openssh-8.9
Y हम साथ संकलन कर सकते हैं निम्नलिखित आदेश:
./configure --prefix=/opt --sysconfdir=/etc/ssh make make install