Nach vier Monaten Entwicklung der Start von die neue Version von OpenSSH 8.4, eine offene Client- und Server-Implementierung für SSH 2.0 und SFTP.
In der neuen Version zeichnet sich durch eine 100% vollständige Implementierung des SSH 2.0-Protokolls aus und zusätzlich zu Änderungen in der Unterstützung für SFTP-Server und -Client, auch für FIDO, Ssh-Keygen und einige andere Änderungen.
Wichtige neue Funktionen von OpenSSH 8.4
Ssh-agent überprüft nun, ob die Nachricht mit SSH-Methoden signiert wird bei Verwendung von FIDO-Schlüsseln, die nicht für die SSH-Authentifizierung generiert wurden (die Schlüssel-ID beginnt nicht mit der Zeichenfolge "ssh:").
Ändern Sie Die Weiterleitung von ssh-agent an Remote-Hosts mit FIDO-Schlüsseln ist nicht zulässig um die Möglichkeit zu blockieren, diese Schlüssel zum Generieren von Signaturen für Webauthentifizierungsanforderungen zu blockieren (der umgekehrte Fall, in dem der Browser eine SSH-Anforderung signieren kann, wurde ursprünglich aufgrund der Verwendung des Präfixes "ssh:" in der Schlüsselidentifikation ausgeschlossen).
ssh-keygen, beim Generieren eines residenten Schlüssels Enthält Unterstützung für das credProtect-Plugin beschrieben in der FIDO 2.1-Spezifikation, die zusätzlichen Schutz für Schlüssel bietet, indem eine PIN eingegeben werden muss, bevor Vorgänge ausgeführt werden, die zum Extrahieren des residenten Schlüssels aus dem Token führen können.
Hinsichtlich der Änderungen, die möglicherweise die Kompatibilität beeinträchtigen:
Zur Kompatibilität mit FIDO U2F wird empfohlen, die libfido2-Bibliothek zu verwenden von mindestens der Version 1.5.0. Die Möglichkeit, alte Editionen zu verwenden, ist teilweise implementiert. In diesem Fall sind jedoch Funktionen wie residente Schlüssel, PIN-Anforderung und Verbindung mehrerer Token nicht verfügbar.
In ssh-keygen, im Format der Bestätigungsinformationen, die optional beim Generieren des FIDO-Schlüssels gespeichert werden, die Authentifizierungsdaten werden hinzugefügt, Dies ist erforderlich, um die digitalen Signaturen zur Bestätigung zu überprüfen.
Beim Erstellen eines Für die portable Version von OpenSSH ist jetzt automake erforderlich, um das Konfigurationsskript zu generieren und zugehörige Assembly-Dateien (wenn Sie aus einer im Code veröffentlichten TAR-Datei kompilieren, müssen Sie configure nicht neu erstellen).
Unterstützung für FIDO-Schlüssel hinzugefügt, für die eine PIN-Überprüfung erforderlich ist für ssh und ssh-keygen. Um Schlüssel mit einer PIN zu generieren, wurde ssh-keygen die Option "Verifizieren erforderlich" hinzugefügt. Bei Verwendung solcher Schlüssel wird der Benutzer vor dem Ausführen der Signaturerstellung aufgefordert, seine Aktionen durch Eingabe des PIN-Codes zu bestätigen.
In sshd ist in der Konfiguration von authorized_keys die Option "Verifizieren erforderlich" implementiert. Dies erfordert die Verwendung von Funktionen, um die Anwesenheit eines Benutzers während Token-Vorgängen zu überprüfen.
Sshd und ssh-keygen haben Unterstützung für die Überprüfung digitaler Signaturen hinzugefügt die dem FIDO Webauthn-Standard entsprechen, der die Verwendung von FIDO-Schlüsseln in Webbrowsern ermöglicht.
Von den anderen Änderungen, die auffallen:
- Unterstützung für ssh und ssh-agent für die Umgebungsvariable $ SSH_ASKPASS_REQUIRE hinzugefügt, mit der der Aufruf von ssh-askpass aktiviert oder deaktiviert werden kann.
- In ssh, in ssh_config, in der AddKeysToAgent-Direktive wurde die Möglichkeit hinzugefügt, die Gültigkeitsdauer des Schlüssels zu begrenzen. Nach Ablauf des angegebenen Limits werden die Schlüssel automatisch vom ssh-agent entfernt.
- In scp und sftp können Sie jetzt mit dem Flag "-A" die Umleitung in scp und sftp mithilfe von ssh-agent explizit zulassen (standardmäßig ist die Umleitung deaktiviert).
- Unterstützung für die Ersetzung von '% k' in der ssh-Konfiguration für den Hostschlüsselnamen hinzugefügt.
- Sshd liefert das Protokoll über den Beginn und das Ende des Verbindungsabbruchs, das vom Parameter MaxStartups gesteuert wird.
Wie installiere ich OpenSSH 8.4 unter Linux?
Für diejenigen, die daran interessiert sind, diese neue Version von OpenSSH auf ihren Systemen installieren zu können, jetzt können sie es tun Herunterladen des Quellcodes von diesem und Durchführen der Kompilierung auf ihren Computern.
Dies liegt daran, dass die neue Version noch nicht in den Repositorys der wichtigsten Linux-Distributionen enthalten ist. Um den Quellcode zu erhalten, können Sie von den folgenden Link.
Fertig den Download, Jetzt entpacken wir das Paket mit dem folgenden Befehl:
tar -xvf openssh-8.4.tar.gz
Wir geben das erstellte Verzeichnis ein:
cd öffnetsh-8.4
Y wir können mit kompilieren die folgenden Befehle:
./configure --prefix = / opt --sysconfdir = / etc / ssh make make install