Представлен релиз OpenSSH 6.1, открытой реализации клиента и сервера для работы по протоколам SSH (1.3, 1.5 и 2.0) и SFTP.
Из наиболее заметных улучшений можно отметить:
- Включён по умолчанию sandbox-режим "UsePrivilegeSeparation=sandbox", использующий rlimit, systrace, secomp filter и другие подсистемы для более жесткой изоляции кода, работающего на стадии до начала аутентификации (pre-auth). Sandbox-режим позволяет воспрепятствовать выполнению системных вызовов к ядру и использованию сокетов, в дополнение к ранее практикуемым сбросу прав до непривилегированного пользователя и помещением процесса в chroot-окружение /var/empty. Таким образом, в случае проникновения через уязвимость в OpenSSH при использовании новой защиты злоумышленник не сможет эксплуатировать локальную уязвимость в ядре для повышения прав или провести атаку на другие хосты (создать сокет, запустить прокси и т.п.). Для Linux при возможности используется secomp filter, но если в ядре нет поддержки данной технологии применяется изоляция на основе rlimit;
- В ssh-keygen добавлены опции для указания начального номера строки и числа строк для обработки файла moduli по частям, в том числе для организации параллельной обработки различных частей файла moduli;
- В директиве Match добавлена поддержка проверки локального адреса и порта (LocalAddress и LocalPort), на которое было принято входящее соединение. Кроме того, через директиву Match теперь можно устанавливать AcceptEnv и {Allow,Deny}{Users,Groups};
- Добавлена поддержка DNS-записей SSHFP (RFC6594) для проверки ключей типа ECDSA (Elliptic Curve Digital Signature Algorithm). Например, "server.example.net IN SSHFP 3 1 ( c6...5 )";
- В ssh-keygen добавлена возможность преобразования ключей RSA1 в публичный PEM и PKCS8;
- В директиве PermitOpen из sshd_config теперь допустимо указание аргумента "none" для блокирования всех запросов на перенаправление портов. Значение "none" также теперь допустимо для AuthorizedPrincipalsFile;
- В ssh-keyscan по умолчанию осуществляется поиск ключей ECDSA;
- В sshd_config добавлена опция "VersionAddendum", дающая возможность добавить произвольный текст к выводимой строке с номером версии.
