OpenSSH jakautuu jälleen: Uusi todennusbinääri paljastettu

SSHD:n jakautuminen etenee sshd-authin avulla, eristäen todennuksen erilliseen binaariin ja vähentäen OpenSSH:n esitodennuksen hyökkäyspintaa.

Jatkuva pyrkimys parantaa OpenSSH:n tietoturvaa jakamalla toiminnot erillisiin binääreihin jatkuu, ja uusin kehitys esittelee uuden binäärin, sshd-auth.

Tämä muutos on osa OpenBSD:n laajempaa strategiaa tehdä OpenSSH-toteutuksesta entistä turvallisempi ja tehokkaampi.

Damien Miller, OpenBSD-kehittäjä, teki äskettäin tämän uuden päivityksen, jonka tavoitteena on erottaa sshd-toiminnallisuus entistä enemmän luomalla oma binääritiedosto käyttäjän todennusta varten.

Kuten commit-viestissä todetaan, tavoite on yksinkertainen: "Tämän koodin erottaminen erilliseksi suoritettavaksi ohjelmaksi varmistaa, että kriittinen hyökkäyspinta esivarmennusvaiheessa on täysin eristetty osoiteavaruudeltaan siitä koodista, jota käytetään yhteyden muussa osassa."

Toisin sanoen tämä vähentää riskiä tehokkaasti eristämällä esivarmennusvaiheen ja pienentämällä kokonaisvaltaista hyökkäyspintaa.

Lisäksi tämä lähestymistapa tarjoaa lisäedun: pienen muistinsäästön ajonaikaisesti. Kun todennusvaihe on suoritettu, todennuskoodi puretaan, vapauttaen muistia muihin tehtäviin.

Tämä muutos on jo integroitu OpenBSD:n väliaikaisversioihin ja sitä on testattu viime viikosta lähtien. Kuten muiden komponenttien, kuten sshd, ssh-session ja ssh-agent, kohdalla, uusi sshd-auth-binääri linkitetään satunnaisesti uudelleen käynnistyksen yhteydessä, mikä lisää yhden suojakerroksen lisää.

Lisätietoja varten katso ilmoitus OpenBSD Journalissa.

Miten tämä liittyy muihin OpenSSH-toteutuksiin

Kuten todennäköisesti tiedät, OpenSSH on osa OpenBSD-projektia ja sitä käytetään laajasti eri käyttöjärjestelmissä, mukaan lukien Linux. Siksi OpenBSD:n OpenSSH-versioon tehdyt muutokset näkyvät usein myös muissa toteutuksissa, sillä ydinkoodi on jaettu.

Tämä tarkoittaa, että parannukset, kuten toimintojen eriyttäminen erillisiin binääreihin, päätyvät lopulta Linuxiin ja muihin järjestelmiin, jotka käyttävät OpenSSH:ta.