Представлен (http://lists.mindrot.org/pipermail/openssh-unix-announce/201...) релиз OpenSSH 6.1 (http://www.openssh.com/), открытой реализации клиента и сервера для работы по протоколам SSH (1.3, 1.5 и 2.0) и SFTP.
Из наиболее заметных улучшений можно отметить:
- Включён по умолчанию sandbox-режим "UsePrivilegeSeparation=sandbox", использующий rlimit, systrace, secomp filter и другие подсистемы для более жесткой изоляции кода, работающего на стадии до начала аутентификации (pre-auth). Sandbox-режим позволяет воспрепятствовать выполнению системных вызовов к ядру и использованию сокетов, в дополнение к ранее практикуемым сбросу прав до непривилегированного пользователя и помещением процесса в chroot-окружение /var/empty. Таким образом, в случае проникновения через уязвимость в OpenSSH при использовании новой защиты злоумышленник не сможет эксплуатировать локальную уязвимость в ядре для повышения прав или провести атаку на другие хосты (создать сокет, запустить прокси и т.п.). Для Linux при возможности используется secomp filter, но если в ядре нет поддержки данной технологии применяется изоляция на основе rlimit;- В ssh-keygen добавлены опции для указания начального номера строки и числа строк для обработки файла moduli по частям, в том числе для организации параллельной обработки различных частей файла moduli;
- В директиве Match добавлена поддержка проверки локального адреса и порта (LocalAddress и LocalPort), на которое было принято входящее соединение. Кроме того, через директиву Match теперь можно устанавливать AcceptEnv и {Allow,Deny}{Users,Groups};
- Добавлена поддержка DNS-записей SSHFP (RFC6594 (http://tools.ietf.org/html/rfc6594)) для проверки ключей типа ECDSA (Elliptic Curve Digital Signature Algorithm) через DNS. Например, "server.example.net IN SSHFP 3 1 ( c6...5 )";
- В ssh-keygen добавлена возможность преобразования ключей RSA1 в публичный PEM и PKCS8;
- В директиве PermitOpen из sshd_config добавлена поддержка указания аргумента "none" для блокирования всех запросов на перенаправление портов. Значение "none" также теперь допустимо для AuthorizedPrincipalsFile;
- В ssh-keyscan по умолчанию осуществляется поиск ключей ECDSA;
- В sshd_config добавлена опция "VersionAddendum", дающая возможность добавить произвольный текст к выводимой строке с номером версии.URL: http://lists.mindrot.org/pipermail/openssh-unix-announce/201...
Новость: http://www.opennet.me/opennews/art.shtml?num=34692
последнее означает,что теперь ssh не будет говорить свою версию при коннекте через телнет?
написано же, ДОБАВЛЯЕТ...[сообщение отредактировано модератором]
> - В sshd_config добавлена опция "VersionAddendum", дающая возможность добавить произвольный
> текст к выводимой строке с номером версии.такое чувство, что не все там нормально в changelog, либо автор новости не то переводил:)
[tiger@master-blabla]~%grep -i adde /etc/ssh/sshd_config
VersionAddendum ZyOS-AAAA
[tiger@master-blabla]~%ssh -V
OpenSSH_5.1p1 FreeBSD-20080901, OpenSSL 0.9.8e 23 Feb 2007
[tiger@master-blabla]~%uname -rms
FreeBSD 7.2-RELEASE-p7 amd64[tiger@laptop]~%telnet master-blabla 22
Trying xx.xx.xx.xx...
Connected to master-blabla.
Escape character is '^]'.
SSH-2.0-OpenSSH_5.1p1 ZyOS-AAAA
> такое чувство, что не все там нормально в changelog, либо автор новости
> не то переводил:)...
> OpenSSH_5.1p1 FreeBSD-20080901, OpenSSL 0.9.8e 23 Feb 2007Ключевое слово - FreeBSD. Во FreeBSD отдельным патчем поддержка VersionAddendum тянется уже много лет.
>> такое чувство, что не все там нормально в changelog, либо автор новости
>> не то переводил:)
> ...
>> OpenSSH_5.1p1 FreeBSD-20080901, OpenSSL 0.9.8e 23 Feb 2007
> Ключевое слово - FreeBSD. Во FreeBSD отдельным патчем поддержка VersionAddendum тянется
> уже много лет.забавно, не задымывался как-то:) думал что оно лет 100 уже "из коробки" есть