Команда разработчиков OpenBSD анонсировала релиз OpenSSH 5.1, открытой реализации клиента и сервера для работы по протоколу SSH версии 1.3, 1.5 и 2.0.

В новой версия исправлена незначительная уязвимость, которую можно использовать для локального перехвата содержимого X11 сессии на HP/UX и вероятно на некоторых других платформах в которых нет проверки смены uid при выполнении SO_REUSEADDR . Проблема проявляется при установке "X11UseLocalhost=no" в файле конфигурации.

Новшества:

• Механизм визуальной оценки валидности ключей удаленного хоста. Суть метода заключается в том, что для каждого хоста openssh генерирует случайную ASCII картинку, при частом соединении к определенному хосту, изменение привычной картинки сразу бросится в глаза и просигнализирует об изменении ключей. Управление осуществляется через директивы конфигурации VisualHostKey;
• В sshd_config добавлена поддержка CIDR масок в блоках "Match address" (например, Match address 192.0.2.0/24,3ffe:ffff::/32,!10.*). Также CIDR можно использовать в from="..." блоках ~/.ssh/authorized_keys;
• В sshd реализован расширенный режим тестирования (сброс действующей конфигурации в stdout и выход), включаемый через опцию командной строки -T;
• В "verbose mode" ssh выводит информацию о переданных и отправленных байтах для соединений по протоколу SSH2;
• В sftp реализована команда df;
• Оптимизация операция распределения памяти в ssh и sshd позволила на 10% увеличить производительность;
• В файле PROTOCOL.agent представлено описание протокола по которому работает ssh-agent;
• Изменение директив в sshd_config:
  • Новая директива MaxSessions, через которую можно ограничить число одновременных сессий мультипрексируемых через одно TCP соединение. Значение по умолчанию - 10;
  • Новая директива AllowAgentForwarding
  • В "Match group" добавлена поддержка отрицания (например "Match group staff,!guests");
  • В match=блоках теперь можно использовать MaxAuthTries;

Кроме того, представлены результаты оценки использования различных версий SSH в сети. Формирования статистики были просканировано более 30 миллионов случайных IP адресов.