Die zehnte Ausgabe der sicheren Remote-Shell OpenSSH schneidet einige alte Zöpfe ab, hält sich an Post-Quantum-Standards und trennt die Nutzeranmeldung vom Rest des Servers. Der eine Dekade lang vollzogene Rauswurf des längst veralteten DSA-Signaturalgorithmus ist nun abgeschlossen, was nur die wenigsten Nutzer merken dürften. Denn bereits seit dem Jahr 2015 ist DSA in der Standardkonfiguration des SSH-Servers deaktiviert, seit letztem Jahr muss die Unterstützung beim Übersetzen des Quellcodes zudem zusätzlich aktiviert werden. Nun verschwinden die letzten Überbleibsel aus dem OpenSSH-Code.
Auch der Schlüsselaustausch mittels "klassischem" Diffie-Hellman verschwindet aus dem SSH-Server, denn er bietet gegenüber jenem mithilfe elliptischer Kurven oder quantensicherer Algorithmen keine Leistungsvorteile.
Der Standardalgorithmus zum Schlüsselaustauch verändert sich ebenfalls. Die Entwickler erkoren MLKEM-768 zum neuen quantensicheren Verfahren der Wahl. Bereits die Vorgängerversion hatte einen vermutlich quantensicheren Algorithmus in der Standardkonfiguration zum Schlüsselaustauch verwendet, nämlich einen Hybriden aus NTRU Prime und X25519. Diesen tauscht das Entwicklerteam nun aus, da MLKEM nicht nur schneller sei, sondern zudem auch vom NIST mittlerweile standardisiert ist.
Angriffe gegen den Anmeldevorgang am SSH-Server sind seit jeher die Königsklasse der Sicherheitslücken, wie etwa der Terrapin-Angriff und die RegreSSHion-Lücke aus 2024. Um die Auswirkungen von derlei Attacken zu mildern, lagert OpenSSH 10 den Authentifizierungsvorgang in ein eigenes Programm namens ssh-auth aus. Dessen Hauptspeicherbereich ist von dem des restlichen Servers getrennt, so dass selbst bei einem erfolgreichen "pre-Authentication exploit" weniger Wechselwirkungen zu erwarten sind.
Dutzende weitere Fehlerbehebungen, kleinere neue Features und ein Sicherheits-Fix zur DisableForwarding-Konfigurationsdirektive runden das OpenSSH-10-Release ab. Kundige Admins können Server und Client aus dem Quellcode kompilieren, Pakete für Linux-Distributionen sind derzeit noch nicht erhältlich.
(
Kommentare