Az OpenSSH olyan alkalmazások halmaza, amelyek lehetővé teszik a hálózaton keresztüli titkosított kommunikációt az SSH protokoll használatával.
Bejelentették az OpenSSH 9.6 új verziójának kiadását, amely számos hibajavítást, valamint néhány új funkciót, számos teljesítményjavítást és még sok mást tartalmaz.
Azok számára, akik nem ismerik az OpenSSH-t (Open Secure Shell), ez egy olyan alkalmazáscsomag, amely titkosított kommunikációt tesz lehetővé hálózaton keresztül az SSH protokoll használatával. A szabadalmaztatott Secure Shell szoftver ingyenes és nyílt forráskódú alternatívájaként hozták létre.
Az OpenSSH 9.6 fő újdonságai
Az OpenSSH 9.6 ezen új verziója egy egyszerűsített ProxyJump funkciót tartalmaz, amely hozzáadja az "%j" helyettesítést az ssh-hoz, kiterjesztve azt a megadott hosztnévre, valamint javítja az instabil vagy nem támogatott fordítóprogram-jelzők, például a " -fzero-call-used-regs " észlelését a clang-ban.
Az új verzió további változása, hogy az SSH mostantól támogatja a ChannelTimeout konfigurálását a kliens oldalon, amely az inaktív csatornák leállítására használható.
Ezenkívül az OpenSSH 9.6 részletesen szabályozza az aláírási algoritmusokat azáltal, hogy egy protokollbővítményt ad hozzá az ssh és sshd protokollokhoz, hogy a felhasználónév fogadása után újratárgyalja a nyilvános kulcsú hitelesítés digitális aláírási algoritmusait. A kiterjesztés használatával például szelektíven használhat különböző algoritmusokat adott felhasználókhoz.
Azt is megjegyezték, hogy az ssh-add és az ssh-agent függvényekhez egy protokollbővítményt adtak hozzá, amely lehetővé teszi a tanúsítványok konfigurálását a PKCS#11 kulcsok betöltésekor, és amely lehetővé teszi a PKCS#11 privát kulcsokhoz társított tanúsítványok használatát az összes olyan OpenSSH segédprogramban, amely támogatja az ssh-agentet, nem csak az ssh-ban.
A hibajavításokkal kapcsolatban megemlítjük, hogy a következő javításokat tartalmazza:
- Megoldás a sérülékenység az SSH protokollban (CVE-2023-48795, Terrapin támadás), amely lehetővé teszi a MITM-támadások számára, hogy visszaállítsák a kapcsolatot, hogy kevésbé biztonságos hitelesítési algoritmusokat használjanak, és letiltsák az olyan oldalcsatornás támadások elleni védelmet, amelyek a billentyűzet billentyűleütései közötti késések elemzésével újra létrehozzák a bemenetet. A támadási módszert külön cikkben ismertetjük.
- Megoldás a az ssh segédprogram biztonsági rése, amely lehetővé teszi tetszőleges shell-parancsok helyettesítését a speciális karaktereket tartalmazó bejelentkezési és gazdagépértékek manipulálásával. A biztonsági rést akkor lehet kihasználni, ha a támadó az ssh-nek átadott bejelentkezési és gazdagépnév-értékeket, a ProxyCommand és LocalCommand direktívákat vagy a helyettesítő karaktereket (például %u és %h) tartalmazó "match exec" blokkokat szabályozza. Például a rossz bejelentkezés és a gazdagép felülbírálható azokon a rendszereken, amelyek almodulokat használnak a Gitben, mivel a Git nem tiltja speciális karakterek megadását a gazdagép- és felhasználónevekben. Hasonló biztonsági rés jelenik meg a libssh-ban is.
- Megoldás a hiba az ssh-agentben, ahol a PKCS#11 privát kulcsok hozzáadásakor, a korlátozások csak a PKCS#11 token által visszaadott első kulcsra vonatkoztak. A probléma nem érinti a normál privát kulcsokat, a FIDO tokeneket vagy a korlátlan kulcsokat.
Az új verzió további jelentős változásai a következők:
- PubkeyAcceptedAlgoritms a „Felhasználó párosítása” blokkban.
- Az sshd folyamat jogosultságainak korlátozása érdekében a getpflags() felületet támogató OpenSolaris verziók a PRIV_XPOLICY PRIV_LIMIT helyett.
- Támogatás hozzáadva az ED25519 privát kulcsok olvasásához PEM PKCS8 formátumban az ssh, sshd, ssh-add és ssh-keygen számára (korábban csak az OpenSSH formátumot támogatták).
Végül, ha többet szeretne megtudni erről az új verzióról, a részleteket ezen a linken találja .
Hogyan telepítsem az OpenSSH 9.6-et Linuxra?
Azok számára, akik szeretnék telepíteni az OpenSSH új verzióját a rendszerükre, egyelőre ezt megtehetik a forráskód letöltésével és a számítógépükön történő lefordításával.
Ez azért van, mert az új verzió még nem került fel a nagyobb Linux disztribúciók tárolóiba. A forráskód beszerzéséhez használhatja a következő linket.
Miután a letöltés befejeződött, a következő paranccsal fogjuk kicsomagolni a csomagot:
tar -xvf openssh-9.6.tar.gz
Belépünk a létrehozott könyvtárba:
cd openssh-9.6
A fordítást pedig a következő parancsokkal tudjuk végrehajtani :
./configure --prefix=/opt --sysconfdir=/etc/ssh make make install