Après cinq mois de développement, la version d'OpenSSH 8.5 est présentée avec lequel Les développeurs d'OpenSSH ont rappelé le prochain transfert vers la catégorie des algorithmes obsolètes qui utilisent des hachages SHA-1, en raison de la plus grande efficacité des attaques par collision avec un préfixe donné (le coût de la sélection de collision est estimé à environ 50 mille dollars).
Dans l'une des prochaines versions, prévoyez de désactiver par défaut la possibilité d'utiliser l'algorithme de signature numérique à clé publique "ssh-rsa", qui est mentionné dans le RFC original pour le protocole SSH et qui est encore largement utilisé dans la pratique.
Pour faciliter la transition vers de nouveaux algorithmes dans OpenSSH 8.5, la configuration UpdateHostKeys est activé par défaut, Qui vous permet de basculer automatiquement les clients vers des algorithmes plus fiables.
Ce paramètre active une extension de protocole spéciale "hostkeys@openssh.com", qui permet au serveur, après avoir passé l'authentification, d'informer le client de toutes les clés d'hôte disponibles. Le client peut refléter ces clés dans son fichier ~ / .ssh / known_hosts, ce qui permet d'organiser les mises à jour des clés d'hôte et facilite la modification des clés sur le serveur.
En outre, correction d'une vulnérabilité causée par la re-libération d'une zone mémoire déjà libérée dans ssh-agent. Le problème est apparent depuis la sortie d'OpenSSH 8.2 et pourrait potentiellement être exploité si l'attaquant a accès au socket de l'agent ssh sur le système local. Pour compliquer les choses, seuls root et l'utilisateur d'origine ont accès au socket. Le scénario d'attaque le plus probable consiste à rediriger l'agent vers un compte contrôlé par l'attaquant ou vers un hôte sur lequel l'attaquant a un accès root.
En outre, sshd a ajouté une protection contre le passage de paramètres très volumineux avec un nom d'utilisateur pour le sous-système PAM, qui permet de bloquer les vulnérabilités dans les modules du système PAM (Module d'authentification enfichable). Par exemple, le changement empêche sshd d'être utilisé comme vecteur pour exploiter une vulnérabilité racine récemment identifiée dans Solaris (CVE-2020-14871).
Pour la partie des changements susceptibles de rompre la compatibilité, il est mentionné que ssh et sshd ont retravaillé une méthode expérimentale d'échange de clés qui résiste aux attaques par force brute sur un ordinateur quantique.
La méthode utilisée est basée sur l'algorithme NTRU Prime développé pour les cryptosystèmes post-quantiques et la méthode d'échange de clés à courbe elliptique X25519. Au lieu de sntrup4591761x25519-sha512@tinyssh.org, la méthode est désormais identifiée comme sntrup761x25519-sha512@openssh.com (l'algorithme sntrup4591761 a été remplacé par sntrup761).
Parmi les autres changements qui ressortent:
- Dans ssh et sshd, l'ordre des algorithmes de signature numérique pris en charge par la publicité a été modifié. Le premier est maintenant ED25519 au lieu d'ECDSA.
- Dans ssh et sshd, les paramètres QoS TOS / DSCP pour les sessions interactives sont désormais définis avant l'établissement d'une connexion TCP.
- Ssh et sshd ont cessé de prendre en charge le cryptage rijndael-cbc@lysator.liu.se, qui est identique à aes256-cbc et était utilisé avant la RFC-4253.
- Ssh, en acceptant une nouvelle clé d'hôte, garantit que tous les noms d'hôte et adresses IP associés à la clé sont affichés.
- Dans ssh pour les clés FIDO, une demande de PIN répétée est fournie en cas d'échec de l'opération de signature numérique due à un PIN incorrect et à l'absence de demande de PIN de la part de l'utilisateur (par exemple, lorsqu'il n'a pas été possible d'obtenir une biométrie correcte données et l'appareil a ressaisi manuellement le code PIN).
- Sshd ajoute la prise en charge des appels système supplémentaires au mécanisme de sandboxing basé sur seccomp-bpf sous Linux.
Comment installer OpenSSH 8.5 sur Linux?
Pour ceux qui souhaitent pouvoir installer cette nouvelle version d'OpenSSH sur leurs systèmes, pour l'instant ils peuvent le faire télécharger le code source de ceci et effectuer la compilation sur leurs ordinateurs.
En effet, la nouvelle version n'a pas encore été incluse dans les référentiels des principales distributions Linux. Pour obtenir le code source, vous pouvez faire de le lien suivant.
Terminé le téléchargement, maintenant, nous allons décompresser le package avec la commande suivante:
tar -xvf ouvresh-8.5.tar.gz
Nous entrons dans le répertoire créé:
cd ouvresh-8.5
Y nous pouvons compiler avec les commandes suivantes:
./configure --prefix = / opt --sysconfdir = / etc / ssh make make install