Vývojáři uvolnili novou verzi balíku OpenSSH s označením 8.8. Hlavní novinkou je vypnutí podpory protokolu ssh-rsa, který staví na slabém hašovacím algoritmu SHA-1. Na změnu upozorňovalo několik předchozích verzí, většina uživatelů si navíc ničeho nevšimne, protože OpenSSH podporuje algoritmy RSA/SHA-256/512 (RFC8332) od verze 7.2 a automaticky je použije.
V poznámkách k vydání se také uvádí, že v blízké budoucnosti přejde utilita scp z původního problematického protokolu na modernější SFTP.
Kolik takových zařízení máte, která opravdu nepodporují nic jiného, než RSA/SHA1? Jinak v OpenSSH klientovi můžete podporu RSA/SHA1 pro konkrétní hostname povolit. S čím tedy máte problém?
Záleží na počtu? I kdyby to bylo jen jedno zařízení. které potřebujete spravovat, bude otrava muset přejít na holý telnet. (Navíc v zájmu pokroku a zvyšování bezpečnosti!)
Já třeba mám asi deset switchů, na něž se už teď bez "PubkeyAcceptedAlgorithms +ssh-rsa" nepřipojím (plus domácí router s aktuálním OpenWRT, ale tam by to měl vyřešit upgrade na nové vydání, které snad bude v horizontu měsíců k použití). To je s OpenSSH klientem 8.6 na Fedoře. Zprávička mě tedy celkem vyděsila, protože jsem nabyl dojmu, že od 8.8 bude podpora vypnuta úplně. Zdá se ale, že tomu tak není, asi jen Fedora trochu předbíhá dobu a od 8.8 se to bude stejně chovat všem.
@Lol Phirae
Ta zprávička má lehce clickbaitový titulek - nový release vypíná podporu jen ve výchozím stavu, ale dá se pořád explicitně zapnout. Je to úplně stejně jako třeba předtím starý dh kex s sha1, který byl takhle vypnut už v předchozích releasech openssh.
Takže buď per host v .ssh/config, nebo přes parametr -o při volání příkazu ssh. V tom druhém případě si samozřejmě můžete udělat třeba alias v shellu (já to mám třeba jako ssh-leg, když se potřebuji připojovat k takovýmto neaktualizovaným hostům).
A samozřejmě těch možností je víc, jak tu už zaznělo. Třeba putty resp. plink z shellu tyhle legacy algoritmy pořád podporuje bez vynucování, podobně jako zastaralý protokol ssh v1.
Jinak ty Ubiquity prvky a firmwary do detailu neznám, ale fakt to nepodporuje ani ecdsa? To bylo v Dropbearu přidané tak někdy na konci roku 2013.
Není třeba jen ručně přegenerovat host klíče s odpovídajícími parametry?
koukam ze uz v 17.01 to slo zapnout pri rekompilaci dropbear balicku:
https://bugs.openwrt.org/index.php?do=details&task_id=786
v 21.02 uz je soucasti vychoziho dropbear balicku, viz:
ssh -oHostKeyAlgorithms=-* root@router
[...]
Their offer: ssh-ed25519,rsa-sha2-256,ssh-rsa
28. 9. 2021, 15:07 editováno autorem komentáře
Není. Boj je o velikost, protože jinak se do firmwaru routeru nevejdou takové nezbytnosti, jako je ohromně výkonný Samba server, na který je router jako dělaný, prostě firewall je ideální místo pro sdílení souborů...
Jsi tu spravne. Jeste minuly rok jsem resil prusery pri vypinani dsa. Ono spojene staty jsou takovy skanzen technologii.
Jinak kdybyby jen dropbear... Stare jsch a paramiko knihovny u vychechtanych startupistu ktere nakupoval korporat je taky dobry vejvar.
29. 9. 2021, 23:44 editováno autorem komentáře
ČLÁNKY DO MAILU