Onlangs OpenSSH-ontwikkelaars hebben zojuist die versie 8.0 aangekondigd van deze beveiligingstool voor externe verbinding met het SSH-protocol het is bijna klaar om te worden gepubliceerd.
Damian Miller, een van de belangrijkste ontwikkelaars van het project, zojuist de gebruikersgemeenschap genoemd van deze tool zodat ze het kunnen proberen omdat, met voldoende ogen, alle fouten op tijd kunnen worden opgevangen.
Mensen die besluiten deze nieuwe versie te gebruiken, zullen dat kunnen Ze helpen je niet alleen om de prestaties te testen en bugs te detecteren zonder fouten, je zult ook nieuwe verbeteringen kunnen ontdekken van verschillende bestellingen.
Op beveiligingsniveau Zo zijn in deze nieuwe versie van OpenSSH verzachtende maatregelen geïntroduceerd voor zwakke punten in het scp-protocol.
In de praktijk zal het kopiëren van bestanden met scp veiliger zijn in OpenSSH 8.0 omdat het kopiëren van bestanden van een externe directory naar een lokale directory ervoor zorgt dat scp controleert of de bestanden die door de server worden verzonden, overeenkomen met het afgegeven verzoek.
Als dit mechanisme niet zou worden geïmplementeerd, zou een aanvalserver in theorie het verzoek kunnen onderscheppen door kwaadaardige bestanden af te leveren in plaats van de bestanden die oorspronkelijk waren aangevraagd.
Ondanks deze beperkende maatregelen raadt OpenSSH het gebruik van het scp-protocol echter niet aan, omdat het "verouderd, inflexibel en moeilijk op te lossen" is.
"We raden aan om modernere protocollen zoals sftp en rsync te gebruiken voor bestandsoverdrachten", waarschuwde Miller.
Wat zal deze nieuwe versie van OpenSSH bieden?
In het pakket «Nieuws» van deze nieuwe versie bevat een aantal wijzigingen die van invloed kunnen zijn op bestaande configuraties.
Bv op bovengenoemd niveau van het scp-protocol, aangezien dit protocol is gebaseerd op een externe shell, het is niet zeker dat de bestanden die vanaf de client worden overgedragen, overeenkomen met die van de server.
Als er een verschil is tussen de generieke client en de serverextensie, kan de client de bestanden van de server weigeren.
Om deze reden heeft het OpenSSH-team scp voorzien van een nieuwe "-T" -vlag die controles aan de clientzijde uitschakelt om de hierboven beschreven aanval opnieuw te introduceren.
Op het eerste sshd-niveau: het OpenSSH-team heeft de ondersteuning voor de verouderde "host / poort" -syntaxis verwijderd.
Een door schuine streep gescheiden host / poort werd in 2001 toegevoegd in plaats van de "host: poort" -syntaxis voor IPv6-gebruikers.
Tegenwoordig wordt slash-syntaxis gemakkelijk verward met CIDR-notatie, die ook compatibel is met OpenSSH.
Andere nieuwigheden
Daarom is het raadzaam om de slash-notatie uit ListenAddress en PermitOpen te verwijderen. Naast deze wijzigingen, we hebben nieuwe functies toegevoegd aan OpenSSH 8.0. Waaronder:
Een experimentele methode voor sleuteluitwisseling voor kwantumcomputers die in deze versie is verschenen.
Het doel van deze functie is om de veiligheidsproblemen op te lossen die kunnen ontstaan bij het verdelen van sleutels tussen partijen, gezien de bedreigingen voor technologische vooruitgang, zoals de toename van de rekenkracht van machines, nieuwe algoritmen voor kwantumcomputers.
Om dit te doen, is deze methode gebaseerd op de quantumsleutel-distributieoplossing (afgekort QKD in het Engels).
Deze oplossing maakt gebruik van kwantumeigenschappen om geheime informatie uit te wisselen, zoals een cryptografische sleutel.
Het meten van een kwantumsysteem verandert in principe het systeem. Bovendien, als een hacker zou proberen een cryptografische sleutel te onderscheppen die is uitgegeven via een QKD-implementatie, zou dit onvermijdelijk detecteerbare vingerafdrukken achterlaten voor OepnSSH.
Bovendien de standaardgrootte van de RSA-sleutel die is bijgewerkt naar 3072 bits.
Van het andere gerapporteerde nieuws zijn de volgende:
- Ondersteuning toevoegen voor ECDSA-sleutels in PKCS-tokens
- toestemming van "PKCS11Provide = none" om volgende instanties van de PKCS11Provide-richtlijn in ssh_config te overschrijven.
- Er wordt een logboekbericht toegevoegd voor situaties waarin een verbinding wordt verbroken na een poging om een opdracht uit te voeren terwijl een sshd_config ForceCommand = internal-sftp-beperking van kracht is.
Voor meer details is een volledige lijst met andere toevoegingen en bugfixes beschikbaar op de officiële pagina.
Om deze nieuwe versie te proberen, kun je gaan naar de volgende link.