OpenSSH se Împarte Din Nou: Un Nou Binar de Autentificare Dezvăluit

Procesul de separare a sshd progresează cu sshd-auth, izolând autentificarea într-un binar separat și reducând suprafața de atac pre-autentificare în OpenSSH.

Efortul continuu de a îmbunătăți securitatea OpenSSH prin împărțirea funcționalităților în binare separate continuă, iar cea mai recentă dezvoltare introduce un nou binar, sshd-auth.

Această schimbare face parte din strategia mai amplă a OpenBSD de a face implementarea OpenSSH și mai sigură și eficientă.

Damien Miller, un dezvoltator OpenBSD, a făcut recent acest nou update, care are ca scop segregarea suplimentară a funcționalității sshd prin crearea unui binar dedicat pentru autentificarea utilizatorilor.

Așa cum se menționează în mesajul commit-ului, obiectivul este simplu: „Separarea acestui cod într-un executabil separat asigură că suprafața critică de atac în timpul fazei de pre-autentificare are un spațiu de adrese complet izolat față de codul folosit pentru restul conexiunii.”

Cu alte cuvinte, acest lucru minimizează eficient riscul prin izolarea etapei de pre-autentificare și reducerea suprafeței de atac generală.

Mai mult, această abordare oferă un avantaj suplimentar: economisirea unei mici cantități de memorie la rulare. Odată ce faza de autentificare este completă, codul de autentificare va fi descărcat, eliberând memorie pentru alte sarcini.

Această modificare a fost deja integrată în snapshot-urile OpenBSD și a fost testată încă de săptămâna trecută. La fel ca și alte componente precum sshd, ssh-session și ssh-agent, noul binar sshd-auth va fi relink-uit aleatoriu la pornire, adăugând un alt strat de protecție.

Pentru mai multe informații, consultați anunțul din OpenBSD Journal.

Cum se raportează acest lucru la alte implementări OpenSSH

Așa cum probabil știți, OpenSSH face parte din proiectul OpenBSD și este utilizat pe scară largă în diverse sisteme de operare, inclusiv Linux. Prin urmare, modificările aduse versiunii OpenBSD a OpenSSH sunt adesea reflectate și în alte implementări, deoarece codul de bază este împărtășit.

Aceasta înseamnă că îmbunătățirile, cum ar fi segregarea funcționalităților în fișiere binare separate, vor ajunge în cele din urmă în Linux și în alte sisteme care se bazează pe OpenSSH.