OpenSSH 10.1: Thông báo về Xử lý DSCP Mới và Ngừng Hỗ trợ SHA1 SSHFP

OpenSSH 10.1 hiện đã có sẵn, bao gồm các thay đổi trong xử lý DSCP, sửa lỗi bảo mật và kế hoạch loại bỏ SHA1 SSHFP.

Dự án OpenSSH, được phát triển và duy trì dưới sự bảo trợ của OpenBSD, đã thông báo về việc phát hành OpenSSH 10.1, một bộ công cụ bảo mật được sử dụng rộng rãi cho đăng nhập từ xa và truyền tệp qua kết nối mã hóa. Nó hiện đã có sẵn để tải về trên các trang phản chiếu chính thức của dự án.

Một thay đổi quan trọng trong phiên bản này là việc sắp tới loại bỏ các bản ghi SHA1 SSHFP DNS, vốn sẽ sớm bị bỏ qua do những điểm yếu trong thuật toán SHA1. Từ bây giờ, ssh-keygen -r sẽ chỉ tạo các bản ghi SSHFP dựa trên SHA256.

OpenSSH 10.1 cũng giới thiệu một cảnh báo cho các thỏa thuận khóa không dựa trên lượng tử hậu, nhấn mạnh rủi ro của các cuộc tấn công “lưu trữ bây giờ, giải mã sau”. Hành vi này được quản lý bởi tùy chọn mới WarnWeakCrypto, được bật theo mặc định.

Một bản vá bảo mật nhỏ cũng đã được phát hành trong phiên bản này. Nó ngăn các ký tự điều khiển được bao gồm trong tên người dùng được cung cấp qua các dòng lệnh SSH hoặc URI không đáng tin cậy, giải quyết một vấn đề tiềm ẩn về lệnh shell khi ProxyCommand được cấu hình để sử dụng các mở rộng tên người dùng.

Phiên bản này mang đến những thay đổi lớn về DSCP (IPQoS). Lưu lượng SSH tương tác hiện mặc định sử dụng lớp Expedited Forwarding để giảm độ trễ tốt hơn, trong khi lưu lượng không tương tác, chẳng hạn như các bản chuyển SFTP, sử dụng mặc định hệ thống. Ngoài ra, các từ khóa ToS IPv4 cũ như lowdelay, reliability và throughput hiện bị bỏ qua, thay bằng các đánh dấu DSCP hiện đại.

Về phía ssh-agent, nó hiện lưu các socket của mình dưới ~/.ssh/agent thay vì /tmp, cải thiện bảo mật trên các hệ thống bị hạn chế. Ngoài ra, nó cũng tự động dọn dẹp các socket cũ và có thể loại bỏ các chứng chỉ hết hạn ngay sau khi chúng hết hạn.

Các thay đổi đáng chú ý khác bao gồm việc thêm hỗ trợ khóa ed25519 trên các token PKCS#11, một tùy chọn RefuseConnection mới trong ssh_config, và nâng giới hạn kích thước cấu hình từ 256 KB lên 4 MB. Phiên bản này cũng sửa các độ trễ với các client X, cải thiện chẩn đoán khi tải khóa, và khắc phục một số rò rỉ bộ nhớ.

Cuối cùng, phiên bản di động bao gồm các sửa lỗi tương thích nhỏ cho Linux, macOS và BSD, cùng với tiện ích askpass mới cho GNOME 40+. Nó cũng cải thiện việc xử lý PAM, sandboxing seccomp và hỗ trợ syscall futex trên các hệ thống 32-bit.

Để biết thêm thông tin, xem nhật ký thay đổi.