网站搜索
OpenSSH 宣布计划淘汰 DSA 密钥
从2024年6月起，OpenSSH将默认禁用DSA密钥，并计划在2025年完全移除。
为了加强数字安全，OpenSSH 宣布计划逐步淘汰对 DSA 密钥的支持，这一决定是基于该算法本身的弱点以及更安全替代方案的发展。不过，首先，让我们为读者更详细地介绍一下 DSA 是什么。
DSA及其局限性
DSA，即数字签名算法，是一种用于数字签名和身份验证的加密算法，也是 SSHv2 协议的关键组件。然而，人们早已认识到其局限性，特别是它仅限于 160 位私钥，并依赖 SHA1 摘要。
阅读更多 →在近期 SSH 漏洞之后，Systemd 减少了依赖关系
最近的 sshd/xz 后门（CVE-2024-3094）暴露了 systemd 的 libsystemd 中的风险，引发了关于减少依赖性的讨论。
鉴于最近的事件，关于 systemd 间接涉及的漏洞出现了重大争论，特别是在 sshd/xz 后门事件（CVE-2024-3094）中，凸显了与 libsystemd 依赖相关的潜在安全风险。libsystemd 是将服务与 systemd 集成的关键库。
问题的关键在于观察到 libsystemd 由于被所有 systemd 服务以及任何希望与 systemd 通信的第三方服务链接，从而引入了额外的依赖，这些依赖可能成为漏洞的来源。
针对这一漏洞问题的拟议解决方案是大幅减少 libsystemd 的依赖，仅包含标准
阅读更多 →OpenSSH通过新功能增强安全性
OpenSSH 通过一项新功能加强了安全性，该功能旨在通过智能惩罚措施立即阻止攻击者。
OpenSSH，目前作为 OpenBSD 项目的一部分开发，已经为其 SSH 守护进程（sshd）引入了新的配置选项，这些选项有望减轻未授权访问的恶意尝试。
这一更新由开发者达米恩·米勒（Damien Miller）主导，包含两个关键功能：PerSourcePenalties 和 PerSourcePenaltyExemptList。这些新增功能旨在优化 sshd 对客户端可疑行为的处理方式，同时确保合法用户不受不必要的影响。
新的 PerSourcePenalties 选项使 sshd 能够监控并应对在 SSH 身份验证过程中检测到的异常行为。当启用此功能时，sshd 会跟踪其子预认证会话进程的退出
阅读更多 →OpenSSH 9.8 修复了严重的 sshd 漏洞
OpenSSH 9.8 增强了安全性，修复了 sshd 中的关键竞争条件和 ssh 中的逻辑错误。
今天，OpenSSH 项目宣布发布 OpenSSH 9.8，可在其官方镜像下载。本次发布修复了在 Portable OpenSSH 版本 8.5p1 到 9.7p1 中发现的一个关键问题（CVE-2024-6387）。
这一漏洞可能允许以根权限执行任意代码，特别影响使用 ASLR 的 32 位 Linux 系统。
虽然该漏洞尚未在64位系统上被演示，但这种可能性依然存在，这增加了没有有效地址空间布局随机化（ASLR）的系统的风险。
另一个关键修复是针对 9.5 到 9.7 版本中的逻辑错误，该错误导致 ObscureKeystrokeTiming 功能失效。该漏洞可能使被动观察者能够检测按键，从而带来风险，尤其是在输入密码等敏感信息时。
正如我们在一月份通知您的
阅读更多 →提醒 Fedora 和 RHEL 用户注意 OpenSSH 漏洞
OpenSSH 版本 8.7 和 8.8 中发现了一个新的漏洞 CVE-2024-6409，存在远程代码执行风险；Fedora 36/37 和 RHEL 9 受影响。
OpenSSH 中新披露的漏洞 CVE-2024-6409 在使用 glibc 的多个 Linux 发行版中引起了关注。该安全漏洞可能允许远程代码执行，是在 Qualys 安全团队的审查过程中发现的。
该漏洞特别影响 OpenSSH 8.7 和 8.8 版本及其对应的可移植版本。
这个问题的产生是由于 OpenSSH 的 privsep（特权隔离）子进程在处理信号时存在竞争条件。问题出现在当 cleanup_exit() 函数（该函数设计时并不打算从信号处理程序中调用）被 gr
阅读更多 →SSHFS 项目仍然活跃吗？
自从最后一次发布于2022年5月，且只剩下一个开发者后，SSHFS的未来不确定。这个项目是否正在逐渐消失？
SSHFS（安全外壳文件系统）是一种已经存在多年的工具，几乎每个 Linux 用户都曾在某个时候使用过。它是一个文件系统客户端，允许你使用安全外壳（SSH）协议挂载并操作远程服务器上的目录和文件。
换句话说，SSHFS 让你可以通过加密的网络连接安全地访问远程文件系统，就像访问自己电脑上的本地文件一样。
它基于用户空间文件系统（FUSE）接口，允许非特权用户在不更改内核代码的情况下创建文件系统。这使得 SSHFS 非常灵活且易于使用。
您可以在本地计算机上使用常见的文件操作工具和命令来处理远程文件，例如移动、复制、编辑等，而无需手动来回传输文件。
不幸的是，SSHFS在过去两年里表现不佳。曾经是一个充满活力、社区参与度很高的项目，如今却濒临停滞，其最后一次软
阅读更多 →OpenSSH 再次分裂：推出新的身份验证二进制文件
sshd 分拆正在通过 sshd-auth 推进，将认证隔离到一个单独的二进制文件中，从而减少 OpenSSH 的预认证攻击面。
通过将功能拆分成单独的二进制文件来增强 OpenSSH 安全性的持续努力仍在进行，最新的进展引入了一个新的二进制文件 sshd-auth。
这一变化是 OpenBSD 更广泛战略的一部分，旨在使 OpenSSH 的实现更加安全和高效。
OpenBSD 开发者 Damien Miller 最近提交了这个新的更新，该更新旨在通过为用户认证创建专用二进制文件来进一步隔离 sshd 功能。
正如提交信息中所述，目标很简单：“将这段代码分离到一个单独的可执行文件中，确保在预认证阶段的关键攻击面与用于连接其余部分的代码拥有完全隔离的地址空间。”
换句话说，这实际上通过隔离预认证阶段并减少整体攻击面来最大限度地降
阅读更多 →OpenSSH 10.1：宣布新的 DSCP 处理方式及 SHA1 SSHFP 弃用
OpenSSH 10.1 现已发布，新增了 DSCP 处理更改、安全修复，并计划弃用 SHA1 SSHFP。
OpenSSH 项目在 OpenBSD 的支持下开发和维护，宣布发布 OpenSSH 10.1，这是一个广泛使用的用于远程登录和通过加密连接进行文件传输的安全工具集。现在可以在其官方网站镜像上下载。
此版本的一个关键变化是即将弃用 SHA1 SSHFP DNS 记录，由于 SHA1 算法的弱点，这些记录很快将被忽略。从现在起，ssh-keygen -r 将仅生成基于 SHA256 的 SSHFP 记录。
OpenSSH 10.1 还引入了针对非后量子密钥协议的警告，强调了“先存储，后解密”攻击的风险。这一行为由新的 WarnWeakCrypto 选项
阅读更多 →OpenSSH 10.2 发布，修复了 ControlPersist 相关的关键漏洞
OpenSSH 10.2 修复了漏洞，并准备弃用 SHA1 SSHFP 记录，推动使用更强的基于 SHA256 的安全性。
OpenSSH 项目在 OpenBSD 的支持下开发和维护，宣布发布 OpenSSH 10.2，这是一个维护更新，现在可以从项目的官方镜像站点下载。
此次主要修复解决了在启用 ControlPersist 时导致 SSH 会话无法使用的问题。该功能用于保持主连接处于打开状态以加快复用速度，但在 10.1 版本中，它错误地管理了终端连接。这一漏洞导致用户无法正常与远程会话进行交互。
OpenSSH 10.2 还包括对 ssh-keygen 的更新，修复了两个问题：一个是阻止从 PKCS#11 令牌正确下载密钥的问题，另一个是当证书授权密钥存储在 ssh-agent 中时，CA 签名操作导致错误
阅读更多 →