OpenSSH 10.1: Új DSCP-kezelés, SHA1 SSHFP elavulás bejelentve

Az OpenSSH 10.1 mostantól elérhető, új DSCP-kezelési változtatásokkal, biztonsági javításokkal és a SHA1 SSHFP elavulttá nyilvánításának terveivel.

Az OpenSSH projekt, amelyet az OpenBSD keretein belül fejlesztenek és tartanak karban, bejelentette az OpenSSH 10.1 kiadását, amely egy széles körben használt biztonságos eszközkészlet távoli bejelentkezéshez és fájlátvitelhez titkosított kapcsolatokon keresztül. Mostantól elérhető a hivatalos tükörszerverein a letöltésre.

A kiadás egyik jelentős változása a SHA1 SSHFP DNS rekordok közelgő elavulása, amelyeket hamarosan figyelmen kívül hagynak a SHA1 algoritmus gyengeségei miatt. Ettől kezdve a ssh-keygen -r csak SHA256 alapú SSHFP rekordokat fog generálni.

Az OpenSSH 10.1 szintén figyelmeztetést vezet be a nem poszt-kvantum kulcscsere-protokollokhoz, kiemelve a „tárold most, fejtsd meg később” típusú támadások kockázatát. Ezt a viselkedést az új WarnWeakCrypto opció kezeli, amely alapértelmezés szerint engedélyezett.

Ebben a kiadásban egy kisebb biztonsági javítás is megjelent. Megakadályozza, hogy vezérlőkarakterek kerüljenek a felhasználónevekbe, amelyeket nem megbízható SSH parancssorokon vagy URI-kon keresztül adnak meg, ezzel kezelve egy lehetséges shell-injekciós problémát, amikor a ProxyCommand a felhasználónév-kibővítéseket használta.

Ez a verzió jelentős DSCP (IPQoS) változásokat hoz. Az interaktív SSH forgalom mostantól alapértelmezés szerint az Expedited Forwarding osztályba kerül a jobb késleltetés érdekében, míg a nem interaktív forgalom, mint például az SFTP átvitelek, a rendszer alapértelmezettjét használja. Emellett a régi IPv4 ToS kulcsszavak, mint a lowdelay, reliability és throughput mostantól figyelmen kívül vannak hagyva, és modern DSCP jelölések váltották fel őket.

Az ssh-agent oldalon mostantól a socketeket a ~/.ssh/agent könyvtárban tárolja a /tmp helyett, ami javítja a biztonságot korlátozott rendszereken. Ezenkívül automatikusan törli a régi socketeket, és a lejárt tanúsítványokat is képes eltávolítani röviddel a lejáratuk után.

Egyéb figyelemre méltó változások közé tartozik az ed25519 kulcstámogatás hozzáadása a PKCS#11 tokenekhez, egy új RefuseConnection opció a ssh_config-ban, valamint a konfiguráció méretkorlátjának 256 KB-ról 4 MB-ra növelése. A kiadás emellett javítja az X klienssel kapcsolatos késéseket, továbbfejleszti a kulcstöltés diagnosztikáját, és számos memória szivárgást megszüntet.

Végül, a hordozható verzió kisebb kompatibilitási javításokat tartalmaz Linux, macOS és BSD rendszerekhez, valamint egy új GNOME 40+ askpass segédprogramot. Emellett javítja a PAM kezelését, a seccomp homokozást és a futex rendszerhívás támogatását a 32 bites rendszereken.

További információkért lásd a változásnaplót.