OpenSSH 10.1: Ny hantering av DSCP, SHA1 SSHFP-föråldring tillkännagiven

OpenSSH 10.1 är nu tillgängligt och innehåller ändringar i hantering av DSCP, säkerhetsfixar samt planer på att avveckla SHA1 SSHFP.

OpenSSH-projektet, som utvecklas och underhålls under OpenBSD-paraplyet, tillkännagav lanseringen av OpenSSH 10.1, ett allmänt använt säkert verktygspaket för fjärrinloggning och filöverföring över krypterade anslutningar. Det är nu tillgängligt för nedladdning på dess officiella spegelservrar.

En viktig förändring i denna version är den kommande avvecklingen av SHA1 SSHFP DNS-poster, som snart kommer att ignoreras på grund av svagheter i SHA1-algoritmen. Från och med nu kommer ssh-keygen -r endast att generera SSHFP-poster baserade på SHA256.

OpenSSH 10.1 introducerar också en varning för nyckelavtal som inte är post-kvant, vilket lyfter fram risken för attacker av typen ”lagra nu, dekryptera senare”. Detta beteende hanteras av det nya alternativet WarnWeakCrypto, som är aktiverat som standard.

En mindre säkerhetsfix ingick också i denna version. Den förhindrar att styrtecken inkluderas i användarnamn som anges via opålitliga SSH-kommandorader eller URI:er, vilket åtgärdar en potentiell shell-injektionsproblem när ProxyCommand var konfigurerad för att använda användarnamnsutvidgningar.

Denna version medför stora förändringar av DSCP (IPQoS). Interaktiv SSH-trafik använder nu som standard Expedited Forwarding-klassen för bättre latens, medan icke-interaktiv trafik, såsom SFTP-överföringar, använder systemets standardinställning. Dessutom ignoreras nu äldre IPv4 ToS-nyckelord som lowdelay, reliability och throughput, och ersätts av moderna DSCP-markeringar.

På ssh-agent-sidan lagrar den nu sina sockets under ~/.ssh/agent istället för /tmp, vilket förbättrar säkerheten på begränsade system. Dessutom rensar den automatiskt upp gamla sockets och kan ta bort utgångna certifikat strax efter att de har gått ut.

Andra anmärkningsvärda ändringar inkluderar tillägg av stöd för ed25519-nycklar på PKCS#11-token, ett nytt RefuseConnection-alternativ i ssh_config, samt en höjning av konfigurationsstorleksgränsen från 256 KB till 4 MB. Versionen åtgärdar också förseningar med X-klienter, förbättrar diagnostik vid nyckelladdning och löser flera minnesläckor.

Slutligen innehåller den bärbara versionen mindre kompatibilitetsfixar för Linux, macOS och BSD, plus ett nytt GNOME 40+ askpass-verktyg. Den förbättrar också hanteringen av PAM, seccomp-sandlåda och futex systemanrop på 32-bitars system.

För mer information, se ändringsloggen.