Proposen declarar obsolet i eliminar el protocol SCP de Fedora

Jakub Jelen (Un enginyer de seguretat de Red Hat) va suggerir que el protocol SCP sigui classificat com obsolet per a posteriorment procedir a la seva eliminació. ja que SCP està conceptualment prop de RCP i hereta problemes arquitectònics fonamentals que són la font de vulnerabilitats potencials.

En particular, en SCP i RCP, el servidor accepta la decisió sobre quins arxius i directoris enviar a el client, i el client segueix les instruccions de servidor i només verifica l'exactitud dels noms dels objectes retornats.

A l'connectar-se a un servidor controlat per un atacant, el servidor pot lliurar altres arxius, el que ha portat repetidament a la identificació de vulnerabilitats.

Per exemple, fins fa poc, el client només verificava el directori actual, però no tenia en compte que el servidor podria emetre un arxiu amb un nom diferent i sobreescriure arxius que no van ser sol·licitats (per exemple, en lloc de l' «test.txt» sol·licitat, el servidor pot enviar un arxiu anomenat ». bashrc« i serà escrit pel client).

En el post, publicat per Jakub Jelen, es pot llegir el següent:

Hola, usuaris de Fedora! En els últims anys, hi va haver diversos problemes en el protocol SCP, que ens porten a discussions si podem desfer-nos-en les fases inicials.

La majoria de les veus van dir que fan servir SCP principalment per a còpies ad hoc simples i perquè la utilitat sftp no proporciona una interfície simple per copiar un o dos arxius d'un costat a un altre i perquè les persones només es fan servir per escriure scp en lloc de sftp.

Un altre problema amb el protocol SCP és la característica de processament d'arguments.

Ja que s'esmenta que a l'copiar arxius a un servidor extern, la ruta de l'arxiu s'afegeix a la fi de la comanda scp local, per exemple, quan executa la comanda «scp / sourcefile remoteserver: 'touch / tmp / exploit.sh` / targetfile'» al servidor, la comanda »touch / tmp / exploit.sh» i es va crear l'arxiu / tmp /exploit.sh, per la qual cosa és important utilitzar caràcters d'escapament correctes a scp.

Quan s'usa scp per passar de forma recursiva el contingut del directori (l'opció «-r») en sistemes d'arxius que accepten el caràcter ' `' en els noms dels arxius, un atacant pot crear un fitxer amb apòstrofs i fer que el codi s'executi.

En OpenSSH, aquest problema roman sense corregir, ja que és problemàtic solucionar sense trencar la compatibilitat amb versions anteriors, per exemple, executar ordres per comprovar si hi ha un directori abans de copiar-lo.

Les discussions anteriors han demostrat que scp s'usa generalment per copiar arxius d'un sistema a un altre.

No obstant això, moltes persones fan servir scp en lloc de sftp causa d'una interfície més simple i òbvia per copiar arxius, o simplement per costum. Jakub suggereix usar la implementació per defecte de la utilitat scp, convertida per utilitzar el protocol SFTP (per a alguns casos especials, la utilitat proporciona l'opció «-M scp» per revertir a l'protocol SCP), o afegir un mode de compatibilitat a la utilitat sftp que li permet usar sftp en com un reemplaçament transparent de scp.

Fa alguns mesos, vaig escriure un pegat perquè scp fes servir SFTP internament (amb la possibilitat de tornar a canviar-lo mitjançant -M scp) i ho vaig executar amb èxit en algunes proves.

Els comentaris generals de l'upstream també van ser força positius, de manera que m'agradaria escoltar també les opinions dels nostres usuaris. Encara té algunes limitacions (falta el suport, no funcionarà si el servidor no executa el subsistema sftp, ...), però hauria de ser prou bo per als casos d'ús més comuns.

Entre les limitacions de l'enfocament proposat, s'esmenta la impossibilitat d'intercanviar dades amb servidors que no inicien el subsistema sftp, i l'absència d'una manera de transferència entre dos hosts externs amb trànsit a través de l'host local (mode «-3»). Alguns usuaris també noten que SFTP està lleugerament per darrere de SCP en termes d'ample de banda, que es torna més notable en connexions deficients amb alta latència.

Per a les proves, ja s'ha col·locat un paquet openssh alternatiu al repositori de copr, en el qual s'aplica un pegat amb la implementació de la utilitat scp sobre el protocol SFTP.

font: https://lists.fedoraproject.org/


Sigues el primer a comentar

Deixa el teu comentari

La seva adreça de correu electrònic no es publicarà. Els camps obligatoris estan marcats amb *

*

*

  1. Responsable de les dades: Miguel Ángel Gatón
  2. Finalitat de les dades: Controlar l'SPAM, gestió de comentaris.
  3. Legitimació: El teu consentiment
  4. Comunicació de les dades: No es comunicaran les dades a tercers excepte per obligació legal.
  5. Emmagatzematge de les dades: Base de dades allotjada en Occentus Networks (UE)
  6. Drets: En qualsevol moment pots limitar, recuperar i esborrar la teva informació.