OpenSSH 10.1: Uusi DSCP-käsittely, SHA1 SSHFP:n käytöstä poistaminen ilmoitettu

OpenSSH 10.1 on nyt saatavilla, ja se sisältää muutoksia DSCP-käsittelyssä, tietoturvakorjauksia sekä suunnitelmat SHA1 SSHFP:n käytöstä poistamiseksi.

OpenSSH-projekti, jota kehitetään ja ylläpidetään OpenBSD:n alaisuudessa, ilmoitti OpenSSH 10.1:n julkaisusta, laajasti käytetystä turvallisesta työkalupaketista etäkirjautumista ja tiedostojen siirtoa varten salattujen yhteyksien yli. Se on nyt ladattavissa sen virallisilta peileiltä.

Tämän julkaisun keskeinen muutos on SHA1 SSHFP DNS -tietueiden pian tuleva poistuminen käytöstä, sillä SHA1-algoritmin heikkouksien vuoksi niitä ei enää huomioida. Tästä lähtien ssh-keygen -r luo vain SHA256-pohjaisia SSHFP-tietueita.

OpenSSH 10.1 tuo myös varoituksen ei-jälkipostikvanttisista avainsopimuksista, korostaen "tallenna nyt, pura myöhemmin" -hyökkäysten riskiä. Tämä toiminto hallitaan uudella WarnWeakCrypto-asetuksella, joka on oletuksena käytössä.

Tässä julkaisussa toteutettiin myös pieni tietoturvakorjaus. Se estää ohjausmerkkien sisältymisen käyttäjänimiin, jotka annetaan epäluotettavien SSH-komentorivien tai URI-osoitteiden kautta, mikä korjaa mahdollisen komentotulkin injektiovirheen, kun ProxyCommand oli määritetty käyttämään käyttäjänimi-laajennuksia.

Tämä versio tuo merkittäviä muutoksia DSCP:hen (IPQoS). Interaktiivinen SSH-liikenne käyttää nyt oletuksena Expedited Forwarding -luokkaa paremman viiveen takaamiseksi, kun taas ei-interaktiivinen liikenne, kuten SFTP-siirrot, käyttää järjestelmän oletusta. Lisäksi vanhat IPv4 ToS -avainsanat, kuten lowdelay, reliability ja throughput, ohitetaan nyt ja ne on korvattu moderneilla DSCP-merkinnöillä.

SSH-agentin puolella se tallentaa nyt soketinsa hakemistoon ~/.ssh/agent /tmp-kansion sijasta, mikä parantaa turvallisuutta rajoitetuilla järjestelmillä. Lisäksi se siivoaa vanhat soketit automaattisesti ja voi poistaa vanhentuneet varmenteet pian niiden vanhentuessa.

Muita merkittäviä muutoksia ovat ed25519-avaintuen lisääminen PKCS#11-tunnisteisiin, uusi RefuseConnection-vaihtoehto ssh_config-tiedostossa sekä kokorajoituksen nostaminen asetustiedostoille 256 KB:sta 4 MB:iin. Julkaisu korjaa myös viiveitä X-asiakkaiden kanssa, parantaa avainten latauksen diagnostiikkaa ja ratkaisee useita muistivuotoja.

Viimeiseksi, kannettava versio sisältää pieniä yhteensopivuuskorjauksia Linuxille, macOS:lle ja BSD:lle sekä uuden GNOME 40+ askpass-apuohjelman. Se parantaa myös PAM-käsittelyä, seccomp-hiekkalaatikkoa ja futex-järjestelmäkutsujen tukea 32-bittisissä järjestelmissä.

Lisätietoja saat muutospäiväkirjasta.