OpenSSH 8.3 已經發布，以下是它的新聞

經過三個月的開發， 介紹了新版本的OpenSSH 8.3， 在其中 重點介紹了針對scp攻擊的新增保護， 什麼 允許服務器傳輸與請求的文件名不同的其他文件名 （與先前的漏洞不同，該攻擊不允許更改用戶選擇的目錄或全局掩碼）。

在SCP中， 服務器決定要發送到客戶端的文件和目錄，客戶端僅檢查準確性 返回的對象名稱。 所確定問題的本質在於，如果對計時系統的調用失敗，則文件的內容將被解釋為文件元數據。

連接到由攻擊者控制的服務器時，此功能可用於保存其他名稱 在設置中使用scp複製時，用戶FS中的文件和其他內容會導致計時失敗。 例如，當時間被SELinux策略或系統調用篩選器禁用時。

據估計，實際攻擊的可能性很小，因為在典型配置中，時間調用不會失敗。 同樣，攻擊不會被忽視：調用scp時，將顯示數據傳輸錯誤。

再見SHA-1

此外，OpenSSH開發人員還 再次警告即將轉移到過時的算法類別 使用SHA-1哈希算法的用戶，由於具有給定前綴的衝突攻擊效率提高了（衝突選擇的成本估計為$ 45K左右）。

在以下問題之一中，他們計劃禁用 默認情況下，具有使用ssh-rsa公鑰數字簽名算法的功能，該功能在SSH的原始RFC中提到，並在實踐中廣泛使用。

可能的候選人

為了在即將發布的版本中簡化向OpenSSH中新算法的過渡， 默認情況下，將啟用UpdateHostKeys設置， 它將自動將客戶端切換到更可靠的算法。

在推薦的遷移算法中 它們是：基於RFC2的rsa-sha256-512 / 8332 RSA SHA-2（與OpenSSH 7.2兼容並默認使用），ssh-ed25519（與OpenSSH 6.5兼容）和ecdsa-sha2-nistp256 / 384/521（基於RFC5656） ECDSA（符合OpenSSH 5.7）。

其他變化

在上一期中，“ ssh-rsa”和“ diffie-hellman-group14-sha1”»已從CASignatureAlgorithms列表中刪除，它定義了對新證書進行數字簽名的有效算法，因為在證書中使用SHA-1會帶來額外的風險，因為攻擊者無限制的時間來搜索現有證書的衝突，而主機密鑰中的攻擊時間受到限制連接超時（LoginGraceTime）。

其他變化 從這個新版本中脫穎而出的是：

• 在sftp中，“-1”處理停止，類似於ssh和scp，先前已接受但忽略了該處理。
• 在使用IgnoreRhosts的sshd中，現在提供了三個選項：“是”忽略rhosts / shosts，“否”考慮rhosts / shosts和“僅允許主機shosts”（允許“ .shosts”使用，但禁用“ .rhosts”） 。
• 在ssh中，LocalFoward和RemoteForward配置中提供了％TOKEN覆蓋處理，用於重定向Unix套接字。
• 如果沒有單獨的帶有公鑰的文件，則可以從未使用私鑰加密的文件中下載公鑰。
• 如果系統在ssh和sshd中具有libcrypto，則現在使用該庫的chacha20算法實現，而不是性能較低的內置可移植實現。
• 已經實現了在執行命令“ ssh-keygen -lQf / path”時轉儲已撤銷證書的二進制列表的內容的功能。
• 便攜式版本實現系統定義，其中帶有SA_RESTART選項的信號會中斷選擇。
• 在HP / UX和AIX系統上已解決的編譯問題。
• 修復了某些Linux配置上seccomp沙箱的編譯問題。
• libfido2庫的定義已得到改進，並且使用–with-security-key-builtin選項解決了編譯問題。

如何在Linux上安裝OpenSSH 8.3？

對於那些對能夠在其係統上安裝此新版本的OpenSSH感興趣的人， 現在他們可以做到 下載此源代碼並 在他們的計算機上執行編譯。

這是因為新版本尚未包含在主要Linux發行版的存儲庫中。 要獲取源代碼，您可以從 下一個鏈接.

完成下載， 現在，我們將使用以下命令解壓縮該軟件包：

tar -xvf openssh-8.3.tar.gz

我們輸入創建的目錄：

cd openssh-8.3

Y 我們可以用 以下命令：

./configure --prefix=/opt --sysconfdir=/etc/ssh
make
make install