Ei propun să renunțe și să elimine protocolul Fedora SCP

Jakub jelen (un inginer de securitate Red Hat) a sugerat ca protocolul SCP să fie clasificat ca învechit pentru a proceda ulterior la eliminarea sa. La fel de SCP este apropiat conceptual de RCP și moștenește probleme arhitecturale elemente fundamentale care sunt sursa potențialelor vulnerabilități.

În special, în SCP și RCP, serverul acceptă decizia cu privire la ce fișiere și directoare să trimită către client, iar clientul urmează instrucțiunile serverului și verifică doar corectitudinea numelor obiectelor returnate.

Prin conectarea la un server controlat de un atacator, serverul poate livra alte fișiere, ceea ce a dus în mod repetat la identificarea vulnerabilităților.

De exemplu, până de curând, clientul a verificat doar directorul curent, dar nu a luat în considerare faptul că serverul poate emite un fișier cu un nume diferit și poate suprascrie fișierele care nu au fost solicitate (de exemplu, în loc de „test.txt” solicitat, serverul poate trimite un fișier numit ». bashrc« și va fi scris de client).

În postarea, publicată de Jakub Jelen, puteți citi următoarele:

Bună ziua utilizatorilor Fedora! În ultimii ani, au existat mai multe probleme în protocolul SCP, care ne-au condus la discuții dacă putem scăpa de el în fazele inițiale.

Majoritatea vocilor au spus că folosesc SCP în principal pentru copii ad-hoc simple și pentru că utilitarul sftp nu oferă o interfață simplă pentru a copia unul sau două fișiere dintr-o parte în alta și pentru că oamenii sunt folosiți doar pentru a scrie scp în loc de sftp.

O altă problemă cu protocolul SCP este caracteristica de procesare a argumentelor.

De vreme ce se menționează că când copiați fișiere pe un server extern, calea fișierului este atașată la sfârșitul comenzii scp local, de exemplu, când executați comanda «scp / sourcefile remoteserver: 'touch / tmp / exploit.sh` / targetfile'» pe server, comanda »touch / tmp / exploit.sh» și fișierul / tmp au fost creat /exploit.sh, deci este important să utilizați caractere de evadare corecte în scp.

Când scp este utilizat pentru a trece recursiv conținutul directoarelor (opțiunea "-r") în sistemele de fișiere care acceptă caracterul '' 'în numele fișierelor, un atacator poate crea un fișier cu apostrofe și să-l facă codul de rulat.

În OpenSSH această problemă rămâne necorectată, la fel de dificil de remediat fără a rupe compatibilitatea cu versiunile anterioare, de ex. executarea comenzilor pentru a verifica dacă există un director înainte de al copia.

Discuțiile anterioare au arătat că scp este utilizat în general pentru a copia fișiere de la un sistem la altul.

Sin embargo, mulți oameni folosesc scp în loc de sftp datorită interfeței mai simple și evident pentru a copia fișiere sau doar din obișnuință. Jakub sugerează utilizarea implementării implicite a utilitarului scp, convertită pentru a utiliza protocolul SFTP (pentru unele cazuri speciale, utilitarul oferă opțiunea „-M scp” pentru a reveni la protocolul SCP) sau adăugarea unui mod de compatibilitate la utilitarul sftp care vă permite să utilizați sftp în înlocuitor transparent pentru scp.

Acum câteva luni am scris un patch pentru scp pentru a utiliza SFTP intern (cu posibilitatea de a-l schimba din nou folosind -M scp) și l-am rulat cu succes în unele teste.

Feedback-ul general din amonte a fost, de asemenea, destul de pozitiv, așa că aș dori să aud și de la utilizatorii noștri. Are încă unele limitări (asistența lipsește, nu va funcționa dacă serverul nu rulează subsistemul sftp, ...), dar ar trebui să fie suficient de bun pentru cele mai frecvente cazuri de utilizare.

Între limitări abordării propuse, este menționată imposibilitatea schimbului de date cu servere care nu pornesc subsistemul sftp, și absența unui mod de transfer între două gazde externe cu tranzit prin gazda locală (modul „-3”). Unii utilizatori observă, de asemenea, că SFTP este puțin în spatele SCP în ceea ce privește lățimea de bandă, ceea ce devine mai vizibil la conexiunile slabe cu latență ridicată.

Pentru testare, un pachet openssh alternativ a fost deja plasat în depozitul copr, corecționându-l cu implementarea utilitarului scp peste protocolul SFTP.

Fuente: https://lists.fedoraproject.org/


Fii primul care comenteaza

Lasă comentariul tău

Adresa ta de email nu va fi publicată. Câmpurile obligatorii sunt marcate cu *

*

*

  1. Responsabil pentru date: Miguel Ángel Gatón
  2. Scopul datelor: Control SPAM, gestionarea comentariilor.
  3. Legitimare: consimțământul dvs.
  4. Comunicarea datelor: datele nu vor fi comunicate terților decât prin obligație legală.
  5. Stocarea datelor: bază de date găzduită de Occentus Networks (UE)
  6. Drepturi: în orice moment vă puteți limita, recupera și șterge informațiile.