OpenSSH 10.1: Najavljeno novo rukovanje DSCP-om i ukidanje SHA1 SSHFP-a

OpenSSH 10.1 sada je dostupan, s promjenama u rukovanju DSCP-om, sigurnosnim ispravcima i planovima za ukidanje SHA1 SSHFP-a.

Projekt OpenSSH, razvijen i održavan pod okriljem OpenBSD-a, najavio je izdanje OpenSSH 10.1, široko korištenog sigurnog skupa alata za udaljeno prijavljivanje i prijenos datoteka preko enkriptiranih veza. Sada je dostupan za preuzimanje na službenim zrcalima.

Ključna promjena u ovom izdanju je nadolazeće ukidanje SHA1 SSHFP DNS zapisa, koji će uskoro biti zanemareni zbog slabosti SHA1 algoritma. Od sada, ssh-keygen -r će generirati samo SSHFP zapise temeljene na SHA256.

OpenSSH 10.1 također uvodi upozorenje za dogovore o ključevima koji nisu post-kvantni, naglašavajući rizik od napada „spremi sada, dešifriraj kasnije“. Ovim ponašanjem upravlja nova opcija WarnWeakCrypto, koja je prema zadanim postavkama omogućena.

U ovom izdanju uvedeno je i manje sigurnosno ažuriranje. Ono sprječava uključivanje kontrolnih znakova u korisnička imena dostavljena putem nepouzdanih SSH naredbenih linija ili URI-ja, rješavajući potencijalni problem ubacivanja naredbi u shell kada je ProxyCommand konfiguriran za korištenje proširenja korisničkih imena.

Ova verzija donosi velike promjene u DSCP (IPQoS). Interaktivni SSH promet sada prema zadanim postavkama koristi klasu Expedited Forwarding za bolju latenciju, dok neinteraktivni promet, poput SFTP prijenosa, koristi zadane postavke sustava. Osim toga, zastarjeli IPv4 ToS ključni pojmovi poput lowdelay, reliability i throughput sada se ignoriraju i zamijenjeni su modernim DSCP oznakama.

S obzirom na ssh-agent, sada pohranjuje svoje sokete pod ~/.ssh/agent umjesto /tmp, što poboljšava sigurnost na ograničenim sustavima. Osim toga, automatski čisti stare sokete i može ukloniti istekle certifikate ubrzo nakon što isteknu.

Ostale značajne promjene uključuju dodavanje podrške za ed25519 ključeve na PKCS#11 tokenima, novu opciju RefuseConnection u ssh_config i povećanje ograničenja veličine konfiguracije s 256 KB na 4 MB. Ovo izdanje također ispravlja kašnjenja s X klijentima, poboljšava dijagnostiku učitavanja ključeva te rješava nekoliko curenja memorije.

Na kraju, prijenosna verzija uključuje manje ispravke kompatibilnosti za Linux, macOS i BSD, kao i novu GNOME 40+ askpass uslužnu funkciju. Također poboljšava rukovanje PAM-om, seccomp sandboxing i podršku za futex syscall na 32-bitnim sustavima.

Za više informacija, pogledajte zapisnik promjena.