OpenSSH 10.1: Anunțată noua gestionare DSCP și depanarea SHA1 SSHFP

OpenSSH 10.1 este acum disponibil, incluzând modificări în gestionarea DSCP, remedieri de securitate și planuri de a elimina treptat SHA1 SSHFP.

Proiectul OpenSSH, dezvoltat și întreținut sub umbrela OpenBSD, a anunțat lansarea OpenSSH 10.1, un set de instrumente securizat, larg utilizat, pentru autentificare la distanță și transfer de fișiere prin conexiuni criptate. Acesta este acum disponibil pentru descărcare pe oglinzile sale oficiale.

O schimbare importantă în această versiune este înlocuirea iminentă a înregistrărilor DNS SHA1 SSHFP, care vor fi în curând ignorate din cauza vulnerabilităților algoritmului SHA1. De acum înainte, ssh-keygen -r va genera doar înregistrări SSHFP bazate pe SHA256.

OpenSSH 10.1 introduce, de asemenea, un avertisment pentru acordurile de chei non-post-cuantice, evidențiind riscul atacurilor de tip „stochează acum, decriptează mai târziu”. Acest comportament este gestionat de noua opțiune WarnWeakCrypto, activată implicit.

O mică corecție de securitate a fost, de asemenea, inclusă în această versiune. Aceasta previne includerea caracterelor de control în numele de utilizator furnizate prin liniile de comandă SSH nesigure sau URI-uri, rezolvând o potențială problemă de injecție în shell atunci când ProxyCommand era configurat să utilizeze extinderi de nume de utilizator.

Această versiune aduce modificări semnificative ale DSCP (IPQoS). Traficul SSH interactiv utilizează acum în mod implicit clasa Expedited Forwarding pentru o latență mai bună, în timp ce traficul neinteractiv, cum ar fi transferurile SFTP, folosește valoarea implicită a sistemului. În plus, cuvintele cheie ToS IPv4 vechi, cum ar fi lowdelay, reliability și throughput, sunt acum ignorate și înlocuite cu marcaje DSCP moderne.

Pe partea ssh-agent, acesta își stochează acum socket-urile sub ~/.ssh/agent în loc de /tmp, îmbunătățind securitatea pe sistemele cu acces restricționat. În plus, acesta curăță automat socket-urile vechi și poate elimina certificatele expirate la scurt timp după ce expiră.

Alte modificări notabile includ adăugarea suportului pentru cheia ed25519 pe token-urile PKCS#11, o nouă opțiune RefuseConnection în ssh_config și mărirea limitei pentru dimensiunea configurației de la 256 KB la 4 MB. Lansarea mai rezolvă întârzierile cu clienții X, îmbunătățește diagnosticarea pentru încărcarea cheilor și rezolvă mai multe scurgeri de memorie.

În sfârșit, versiunea portabilă include corecții minore de compatibilitate pentru Linux, macOS și BSD, plus un nou utilitar askpass pentru GNOME 40+. De asemenea, îmbunătățește gestionarea PAM, izolarea seccomp și suportul pentru syscall-ul futex pe sistemele pe 32 de biți.

Pentru mai multe informații, consultați jurnalul de modificări.