OpenSSH 10.6 добавил гибридную постквантовую подпись и защитные изменения
В OpenSSH 10.6 включён гибридный алгоритм подписи ssh-mldsa44-ed25519. Также отключён словарный кодировщик LZ77 для снижения риска утечек по побочным каналам, а scp -R объявлен устаревающим.
Что произошло
Выпущен OpenSSH 10.6. В релизе включён гибридный постквантовый алгоритм подписи ssh-mldsa44-ed25519.
В ssh и sshd отключён словарный кодировщик LZ77 для снижения риска утечек по побочным каналам. Это уменьшит эффективность параметра Compression. Кроме того, для команд lmkdir и mkdir клиента sftp добавлена опция -p. Опция scp -R, предназначенная для копирования между двумя удалёнными хостами, признана устаревающей из-за рисков безопасности; в будущих версиях она будет игнорироваться. Команда OpenSSH также ожидает более частые выпуски обновлений, чтобы быстрее доставлять исправления пользователям.
Что это значит для тех, кто работает с Администрированием Linux-серверов и безопасностью серверов
При обновлении OpenSSH следует учитывать возможное снижение эффективности SSH-сжатия и проверять сценарии, зависящие от scp -R. Включение ssh-mldsa44-ed25519 требует оценки совместимости с используемыми SSH-клиентами, серверами и политиками доступа.
Что делать
- Проверить совместимость
ssh-mldsa44-ed25519в используемой SSH-инфраструктуре. - Оценить влияние отключения словарного кодировщика LZ77 на соединения с включённым
Compression. - Пересмотреть процессы копирования между удалёнными хостами и отказаться от использования
scp -R.
Пересказ и оценка значения для инфраструктуры — редакция U-SERVER. Технические детали сверяйте с первоисточником.