Jakub jelen (egy Red Hat biztonsági mérnök) javasolta az SCP protokoll elavultnak minősítését hogy később folytassa annak megszüntetését. Mint Az SCP fogalmilag közel áll az RCP-hez, és örökli az építészeti problémákat alapokat, amelyek a potenciális sérülékenység forrásai.
Különösen az SCP és RCP esetében a szerver elfogadja a döntést arról, hogy mely fájlokat és könyvtárakat küldje el az ügyfélnek, és az ügyfél követi a szerver utasításait, és csak a visszaküldött objektumnevek helyességét ellenőrzi.
Ha egy támadó által irányított szerverhez csatlakozik, akkor a kiszolgáló más fájlokat is szállíthat, ami többször a sérülékenységek azonosításához vezetett.
Például egészen a közelmúltig az ügyfél csak az aktuális könyvtárat ellenőrizte, de nem vette figyelembe, hogy a szerver más néven állíthat ki fájlokat, és felülírhatja azokat a fájlokat, amelyeket nem kértek (például a "test.txt" helyett kért, a szerver küldhet egy ». bashrc« nevű fájlt, és azt az ügyfél írja.
A Jakub Jelen által közzétett bejegyzésben a következőket olvashatja:
Helló Fedora felhasználók! Az elmúlt években több kérdés is felmerült az SCP protokollban, amelyek megbeszélésekhez vezettek bennünket, hogy vajon a kezdeti szakaszban meg tudunk-e szabadulni tőle.
A legtöbb hang azt mondta, hogy az SCP-t főleg egyszerű ad-hoc másolatokhoz használják, és mivel az sftp segédprogram nem biztosít egyszerű felületet egy vagy két fájl oda-vissza másolásához, és mivel az embereket csak az scp-hez szokták írni az sftp helyett.
Az SCP protokoll másik problémája az argumentumok feldolgozása.
Mivel megemlítik, hogy amikor fájlokat másol külső szerverre, a fájl elérési útja az scp parancs végéhez fűződik lokális, például amikor az «scp / sourcefile remoteserver: 'touch / tmp / exploit.sh` / targetfile'» parancsot futtatja a szerveren, a »touch / tmp / exploit.sh» és a / tmp fájl létrehozta az /exploit.sh fájlt, ezért fontos, hogy megfelelő menekülési karaktereket használjon az
Amikor az scp-t rekurzívan továbbítják a könyvtárak tartalmára (az "-r" opció) olyan fájlrendszerekben, amelyek elfogadják a "" karaktert a fájlnevekben, a támadó hozhat létre aposztrófokkal rendelkező fájlt, és futtathatja a futtatható kódot.
Az OpenSSH-ban ez a probléma nem javított, problémás javítás a visszamenőleges kompatibilitás megszakítása nélkül, például parancsok futtatása annak ellenőrzése érdekében, hogy létezik-e könyvtár egy másolás előtt.
Korábbi megbeszélések azt mutatták, hogy az scp-t általában fájlok másolására használják egyik rendszerből a másikba.
Azonban, sokan az egyszerűbb felület miatt az scp-t használják az sftp helyett és nyilvánvaló fájlok másolásához, vagy csak megszokásból. Jakub javasolja az scp segédprogram alapértelmezett megvalósításának használatát, átalakítva az SFTP protokoll használatára (egyes speciális esetekben a segédprogram biztosítja az "-M scp" opciót az SCP protokollra való visszatéréshez), vagy adjon hozzá kompatibilitási módot az sftp segédprogramhoz amely lehetővé teszi az sftp használatát az scp átlátszó helyettesítőjeként.
Néhány hónappal ezelőtt írtam egy javítást az scp számára, hogy az SFTP-t belsőleg használja (azzal a lehetőséggel, hogy az -M scp használatával visszaválthassam), és néhány teszten sikeresen futtattam.
Az általános upstream visszajelzések szintén meglehetősen pozitívak voltak, ezért szeretnék hallani a felhasználóinktól is. Van még néhány korlátozása (hiányzik a támogatás, nem fog működni, ha a szerver nem futtatja az sftp alrendszert, stb.), De elég jónak kell lennie a leggyakoribb használati esetekhez.
A korlátozások között a javasolt megközelítés megemlítik az adatcsere lehetetlenségét olyan szerverekkel, amelyek nem indítják el az sftp alrendszert, és az átviteli mód hiánya két külső gazdagép között a helyi gazdagépen keresztül történő átvitellel ("-3" mód). Néhány felhasználó azt is megjegyzi, hogy az SFTP a sávszélességet tekintve kissé lemarad az SCP-ről, ami jobban észrevehető a magas késéssel rendelkező gyenge kapcsolatoknál.
Tesztelés céljából egy alternatív openssh csomagot már elhelyeztek a copr lerakatban, javítva azt az scp segédprogram megvalósításával az SFTP protokollon keresztül.
forrás: https://lists.fedoraproject.org/