OpenSSH 6.7 — обновление свободной реализации SSH

Команда разработчиков анонсировала новый релиз OpenSSH 6.7, который представляет собой первую попытку пересмотра кодовой базы проекта и включает ряд новых возможностей.

Помимо устранения ошибок и обновлений, релиз OpenSSH 6.7 включает изменения в наборе шифров и алгоритмов (удаление некоторых из них и изменения в установках по умолчанию) и новую функциональность. В новой версии OpenSSH добавлена поддержка проброса сокетов домена UNIX. Данная возможность позволяет перебросить сокет домена UNIX локальной машины на удалённый порт TCP или наоборот, используя общий с пробросом TCP-портов синтаксис. Например, удалённую базу данных PosgreSQL можно подключить поверх безопасного SSH-канала к сокету домена UNIX при помощи команды:

 ssh -L/tmp/foo.sock:mydatabase.net:5432 someserver

Также доступно подключение двух сокетов домена UNIX поверх SSH-соединения. Эта возможность была доступна в виде патча ещё несколько лет назад, однако последнее обновление кода состоялось в 2012 году для OpenSSH 6.1.

OpenSSH хранит ваше коммюнике в секрете / Иллюстрация с сайта openssh.com

Была добавлена и другая возможность, связанная с пробросом сокетов домена UNIX. Теперь управляющая последовательность %C может быть использована как в аргументе LocalCommand, так и в ControlPath конфигурационного файла. Она трансформируется в уникальный идентификатор, полученный из хеша SHA-1 (локальный хост, удаленный пользователь, имя хоста, порт). Другие последовательности (например, %h для удалённого имени хоста и %u для локального пользователя) зачастую используются в надежде на добавление уникального идентификатора. Тем не менее, добавление сокетов домена UNIX означает, что некоторые возможные варианты использования достигли ограничения на максимальную длину пути (UNIX_PATH_MAX). В этом случае значение хеша для %C послужит обходным путём, обеспечивая идентификатор с фиксированной длиной в 40 символов, хотя это может оказаться полезным и в других случаях.

Новый релиз также расширяет поддержку поиска слепка ключа SSH в DNS. Ранее DNS SSH Fingerprint Publishing (описано в RFC 4255) в OpenSSH включал ключи ECDSA (алгоритм с открытым ключом для создания цифровой подписи). С выпуском OpenSSH 6.7 доступна поддержка ключей, сгенерированных при помощи Ed25519. На текущий момент ключи Ed25519 до сих пор официально не описаны в IETF RFC, хотя уже есть черновик,

Новая версия OpenSSH 6.7 доступна в виде обновлений в дистрибутивах или на сайте OpenSSH.

Автор: Никита Лялин по материалам lwn.net.

Nixp.Ru