OpenSSH 10.1: ประกาศการจัดการ DSCP ใหม่ และการเลิกใช้ SHA1 SSHFP

OpenSSH 10.1 มีให้ใช้งานแล้ว โดยมีการเปลี่ยนแปลงการจัดการ DSCP, การแก้ไขด้านความปลอดภัย และแผนการเลิกใช้ SHA1 SSHFP

โครงการ OpenSSH ซึ่งพัฒนาขึ้นและดูแลภายใต้ร่มของ OpenBSD ประกาศการออกเวอร์ชัน OpenSSH 10.1 ซึ่งเป็นชุดเครื่องมือความปลอดภัยที่ได้รับการยอมรับอย่างแพร่หลายสำหรับการล็อกอินระยะไกลและการถ่ายโอนไฟล์ผ่านการเชื่อมต่อที่เข้ารหัส ขณะนี้สามารถดาวน์โหลดได้จากกระจกเงาอย่างเป็นทางการ

การเปลี่ยนแปลงสำคัญในรุ่นนี้คือการเตรียมยกเลิกการใช้งานระเบียน SHA1 SSHFP DNS ซึ่งจะถูกมองข้ามในเร็ว ๆ นี้เนื่องจากข้อบกพร่องของอัลกอริทึม SHA1 จากนี้ไป ssh-keygen -r จะสร้างเฉพาะระเบียน SSHFP ที่ใช้ SHA256 เท่านั้น

OpenSSH 10.1 ยังแนะนำคำเตือนสำหรับการตกลงคีย์ที่ไม่ใช่โพสต์-ควอนตัม โดยเน้นความเสี่ยงของการโจมตีแบบ “เก็บไว้ก่อน ถอดรหัสทีหลัง” พฤติกรรมนี้ถูกจัดการโดยตัวเลือกใหม่ WarnWeakCrypto ซึ่งถูกเปิดใช้งานเป็นค่าเริ่มต้น

การแก้ไขด้านความปลอดภัยเล็กน้อยก็ถูกรวมในเวอร์ชันนี้ด้วย ซึ่งจะป้องกันไม่ให้มีอักขระควบคุมถูกใส่ในชื่อผู้ใช้ที่ส่งผ่านคำสั่ง SSH ที่ไม่น่าเชื่อถือหรือ URI ซึ่งแก้ไขปัญหาการโจมตีแบบ shell injection ที่อาจเกิดขึ้นเมื่อมีการตั้งค่า ProxyCommand ให้ใช้การขยายชื่อผู้ใช้

เวอร์ชันนี้มีการเปลี่ยนแปลงครั้งใหญ่ใน DSCP (IPQoS) การรับส่งข้อมูล SSH แบบโต้ตอบจะใช้คลาส Expedited Forwarding เป็นค่าเริ่มต้นเพื่อความหน่วงเวลาที่ดีขึ้น ในขณะที่การรับส่งข้อมูลที่ไม่โต้ตอบ เช่น การโอน SFTP จะใช้ค่าของระบบเป็นค่าเริ่มต้น นอกจากนี้ คีย์เวิร์ด ToS ของ IPv4 เก่า เช่น lowdelay, reliability, และ throughput จะถูกละเว้นและถูกแทนที่ด้วยการทำเครื่องหมาย DSCP แบบสมัยใหม่

ในด้าน ssh-agent ตอนนี้มันเก็บซ็อกเก็ตไว้ภายใต้ ~/.ssh/agent แทนที่จะเป็น /tmp ทำให้ระบบที่มีข้อจำกัดมีความปลอดภัยมากขึ้น นอกจากนี้มันยังล้างซ็อกเก็ตเก่าโดยอัตโนมัติและสามารถลบใบรับรองที่หมดอายุได้หลังจากหมดอายุไม่นาน

การเปลี่ยนแปลงที่น่าสังเกตอื่น ๆ รวมถึงการเพิ่มการรองรับคีย์ ed25519 บนโทเค็น PKCS#11 ตัวเลือกใหม่ RefuseConnection ใน ssh_config และเพิ่มขีดจำกัดขนาดการกำหนดค่าจาก 256 KB เป็น 4 MB การเปิดตัวนี้ยังแก้ไขความล่าช้ากับไคลเอนต์ X ปรับปรุงการวินิจฉัยการโหลดคีย์ และแก้ไขปัญหาการรั่วไหลของหน่วยความจำหลายรายการ

สุดท้าย การสร้างแบบพกพารวมถึงการแก้ไขความเข้ากันได้เล็กน้อยสำหรับ Linux, macOS และ BSD รวมถึงยูทิลิตี้ askpass ใหม่สำหรับ GNOME 40+ นอกจากนี้ยังปรับปรุงการจัดการ PAM, การใช้ sandobox ของ seccomp และการรองรับ syscall futex บนระบบ 32 บิต

สำหรับข้อมูลเพิ่มเติม กรุณาดูที่บันทึกการเปลี่ยนแปลง