OpenSSH 10.5 je nyní k dispozici jako nová verze open-source implementace protokolu SSH, která obsahuje několik bezpečnostních oprav a různá vylepšení pro ověřování a správu připojení. Toto vydání také přichází s významnou změnou v bezpečnostní strategii projektu: jeho vývojáři se rozhodli vydávat údržbové verze častěji kvůli nárůstu zranitelností objevených pomocí nástrojů umělé inteligence.
OpenSSH je základní součástí infrastruktury Linuxu a dalších unixových systémů a poskytuje potřebné nástroje pro navazování šifrovaných vzdálených připojení a bezpečnou správu serverů. Opravy zavedené v této verzi jsou proto obzvláště důležité pro administrátory a uživatele, kteří se pro přístup ke vzdáleným systémům spoléhají na SSH.
OpenSSH 10.5 opravuje několik bezpečnostních problémů
Jedna z nejdůležitějších oprav OpenSSH 10.5 Ovlivňuje interakci mezi blokováním ssh-agent a rozšíření [email protected]Toto sloužilo k identifikaci přeposílaných agentů. Za určitých okolností byly požadavky na vazbu odmítnuty, když byl agent uzamčen, což umožňovalo vzdálené provádění určitých operací, které měly zůstat omezeny na lokální prostředí. Mezi ně patřilo začlenění tokenů PKCS#11 a použití klíčů s cílovými omezeními.
SSH klient také opravuje možnou podmínku use-after-zdarma způsobený reallocNa straně serveru OpenSSH 10.5 upravuje chování možnosti restrict de authorized_keys aby se zajistilo, že se jeho omezení vztahují i na přesměrování tuneluPřesměrování přes tunely zůstává ve výchozím nastavení administrativně zakázáno.
Nový parametr ssh -Z v OpenSSH 10.5 pro kontrolu použitých klíčů
Kromě oprav zabezpečení obsahuje OpenSSH 10.5 novou možnost příkazového řádku, která může být obzvláště užitečná pro diagnostiku problémů s ověřováním. Po spuštění ssh -Z usuario@servidorKlient zobrazí veřejné klíče, které by se pokusil použít během ověřování veřejným klíčem, a to přesně v pořadí, v jakém by byly testovány.
Díky těmto informacím je snazší identifikovat problémy, když má systém více SSH klíčů a není jasné, který z nich se klient snaží použít. Místo toho, aby musel chování odvodit z konfigurace, může uživatel přímo vidět posloupnost klíčů, kterou by OpenSSH použil během připojení.
Vylepšení pro klíče FIDO
Ověřování prostřednictvím zařízení FIDO Také se dočká několika vylepšení. ssh-keygen Nyní umožňuje nastavit nebo odebrat indikátory. touch-required y verify-required soukromých klíčů FIDO současně s resetováním hesla klíče.
Klient SSH také upravuje pořadí, ve kterém se pokouší použít certifikáty během ověřování veřejným klíčem. Klíče FIDO, které nevyžadují přítomnost uživatele, se zkoušejí jako první, zatímco ty, které vyžadují ověření PINem nebo biometrické ověřování, se zkoušejí později.
Verze také obsahuje různé provozní opravy. ssh-keyscan Pokračuje v čtení bannerů serveru prostřednictvím neblokující operace, čímž zabraňuje nereagujícímu serveru zpozdit skenování, které zahrnuje více počítačů. Na druhou stranu chyby vznikající při zpracování paketů v sshd Nyní poskytují další informace o vzdáleném počítači, včetně jeho adresy, portu a uživatele.
OpenSSH se připravuje na častější vydání kvůli zvýšené analytice založené na umělé inteligenci.
Jedním z nejpozoruhodnějších aspektů OpenSSH 10.5 není konkrétní funkce, ale spíše vysvětlení, které k jejímu vydání doprovází. Vývojáři tvrdí, že v poslední době obdrželi velké množství bezpečnostních zpráv získaných přímo prostřednictvím modelů umělé inteligence nebo s pomocí těchto nástrojů.
Ne všechny tyto zprávy představují skutečná zranitelnosti. Podle projektu mnoho z nich přestává mít relevantní důsledky, pokud jsou analyzovány pomocí realistických modelů hrozeb. Tým však považuje zprávy generované umělou inteligencí za užitečné, pokud jsou doprovázeny lidskou analýzou, testovacími případy a navrhovanými nápravnými opatřeními.
Důvodem, proč je brát obzvláště vážně, je to, že některé zranitelnosti původně zjištěné pomocí nástrojů umělé inteligence byly následně nezávisle objeveny jinými bezpečnostními výzkumníky. Pro tým OpenSSH to zvyšuje možnost, že útočníci používají podobné nástroje k nalezení chyb, které nejsou zodpovědně hlášeny.
Projekt proto uvádí, že alespoň prozatím hodlá vydávat nové verze častěji, aby se opravy dostaly k uživatelům dříve, místo aby neustále čekal na obvyklý harmonogram vydávání. OpenSSH 10.5 je nyní k dispozici prostřednictvím oficiálních zrcadel projektu, a to jak pro OpenSSH, tak pro Portable OpenSSH.
Díky této strategii OpenSSH 10.5 nejen zlepšuje zabezpečení jednoho ze základních nástrojů Linuxu, ale také odráží, jak se vývoj svobodného softwaru začíná přizpůsobovat novému scénáři výzkumu zranitelností s pomocí umělé inteligence.