Clever Geek Handbook

そして半年が経過していません：OpenSSH8.5のリリースがリリースされました。新製品の詳細



5か月の開発の後、OpenSSH 8.5の リリースがリリースされました。これは、SSH2.0およびSFTPプロトコルを操作するためのクライアントとサーバーのオープン実装です。開発者は、SHA-1ハッシュを使用するアルゴリズムの将来の廃止のカテゴリへの変換を発表しました。問題は、特定のプレフィックスを使用した衝突攻撃の効果が絶えず増加していることです。同時に、衝突を選択するためのコストは約50,000ドルです。



近い将来、開発者は、デフォルトで「ssh-rsa」公開鍵を使用してデジタル署名アルゴリズムを使用する機能を無効にすることを約束します。それは今日でも広まっています。



このキーがご使用のシステムで使用されているかどうかを確認するには、「-oHostKeyAlgorithms = -ssh-rsa」オプションを使用してssh経由で接続を試みる必要があります。重要なポイント：このタイプのデジタル署名をデフォルトで無効にすることは、RSAキーの使用を完全に拒否することではありません。問題は、SHA-1に加えて、SSHプロトコルがハッシュを計算するための他のアルゴリズムを許可することです。他の可能性の中でも、開発者はバンドル「rsa-sha2-256」（RSA / SHA256）および「rsa-sha2-512」（RSA / SHA512）の使用を終了します。



新しいアルゴリズムへの移行を簡素化するために、新しいリリースにはデフォルトで含まれています UpdateHostKeysを設定します。クライアントを新しいアルゴリズムに移行するのは彼女です。この関数は、特別なプロトコル拡張「hostkeys@openssh.com」をアクティブにします。これにより、サーバーは、認証に合格した直後に、使用可能なすべてのホストキーについてクライアントに通知できます。クライアントはこれらのキーを〜/ .ssh / known_hostsファイルに反映できます。これによりホストキーの更新を整理できるため、サーバー上のキーを簡単に変更できます。



UpdateHostKeysの使用は、いくつかのニュアンスで可能であることに注意してください。



  • UserKnownHostsFileで言及する必要があり、GlobalKnownHostsFileでは使用しないでください。
  • キーは1つの名前でのみ存在する必要があります。
  • ホストキー証明書は使用しないでください。
  • known_hostsはホスト名マスクを使用しないでください。
  • VerificationHostKeyDNS設定を無効にする必要があります。
  • UserKnownHostsFileパラメーターがアクティブである必要があります。


開発者が移行に推奨すると言及しているアルゴリズムの中には、次のものがあります。



  • RFC8332 RSASHA-2に基づくrsa-sha2-256 / 512（OpenSSH 7.2以降でサポートされ、デフォルトで使用されます）。
  • ssh-ed25519（OpenSSH 6.5以降でサポート）。
  • ecdsa-sha2-nistp256 / 384/521、RFC5656 ECDSAに基づく（OpenSSH 5.7以降でサポート）。




新バージョンでの変更点の詳細

もちろん、開発者はいくつかのカテゴリをカバーする他の多くの機能を追加しました。



セキュリティ：



  • ssh-agent, . OpenSSH 8.2. ssh-agent . , , . , , , root-.
  • sshd -. PAM (Pluggable Authentication Module). sshd root- Solaris (CVE-2020-14871).


:



  • ssh sshd , . , . , . , . NTRU Prime, , X25519. sntrup4591761x25519-sha512@tinyssh.org sntrup761x25519-sha512@openssh.com ( sntrup4591761 sntrup761).
  • ssh sshd . ECDSA ED25519.
  • TOS/DSCP TCP-.
  • ijndael-cbc@lysator.liu.se, aes256-cbc RFC-4253, .
  • CheckHostIP. , .






  • sshd PerSourceMaxStartups PerSourceNetBlockSize . .
  • ssh sshd LogVerbose, , , .
  • ssh IP-, . .
  • ssh UserKnownHostsFile=none known_hosts .
  • ssh-config KnownHostsCommand, known_hosts .
  • PermitRemoteOpen, RemoteForward SOCKS.
  • ssh FIDO PIN - PIN PIN . , , PIN.
  • contrib/ssh-copy-id.


More articles:


All Articles