OpenSSH 10.5 est désormais disponible. Cette nouvelle version de l'implémentation open source du protocole SSH intègre plusieurs correctifs de sécurité et diverses améliorations pour l'authentification et la gestion des connexions. Cette version marque également un changement important dans la stratégie de sécurité du projet : face à l'augmentation des vulnérabilités découvertes grâce à l'intelligence artificielle, les développeurs ont décidé de publier des versions de maintenance plus fréquemment.
OpenSSH est un élément fondamental de l'infrastructure Linux et des autres systèmes Unix, fournissant les outils nécessaires à l'établissement de connexions distantes chiffrées et à la gestion sécurisée des serveurs. Par conséquent, les correctifs apportés par cette version sont particulièrement importants pour les administrateurs et les utilisateurs qui s'appuient sur SSH pour accéder aux systèmes distants.
OpenSSH 10.5 corrige plusieurs problèmes de sécurité
L'une des corrections les plus importantes de OpenSSH 10.5 Cela affecte l'interaction entre le blocage de ssh-agent et l'extension [email protected]Ce système servait à identifier les agents transférés. Dans certains cas, les requêtes de liaison étaient rejetées lorsque l'agent était verrouillé, ce qui permettait d'effectuer à distance certaines opérations normalement réservées à l'environnement local. Il s'agissait notamment de l'intégration de jetons PKCS#11 et de l'utilisation de clés avec des restrictions de cible.
Le client SSH corrige également une condition possible de utilisation-après-libre causé par reallocCôté serveur, OpenSSH 10.5 modifie le comportement de l'option restrict de authorized_keys afin de garantir que ses restrictions s'appliquent également à tunnel de transfertLe transfert via des tunnels reste désactivé par défaut pour les administrateurs.
Nouveau paramètre ssh -Z dans OpenSSH 10.5 pour vérifier les clés utilisées
Outre les correctifs de sécurité, OpenSSH 10.5 inclut une nouvelle option en ligne de commande particulièrement utile pour diagnostiquer les problèmes d'authentification. Lorsque vous exécutez cette option, vous pouvez utiliser cette commande. ssh -Z usuario@servidorLe client affiche les clés publiques qu'il tenterait d'utiliser lors de l'authentification par clé publique, en respectant exactement l'ordre dans lequel elles seraient testées.
Ces informations facilitent l'identification des problèmes lorsqu'un système possède plusieurs clés SSH et que l'on ignore laquelle le client tente d'utiliser. Au lieu de devoir déduire le comportement à partir de la configuration, l'utilisateur peut visualiser directement la séquence de touches qu'OpenSSH utiliserait lors de la connexion.
Améliorations pour les touches FIDO
Authentification via appareils FIDO Il bénéficie également de plusieurs améliorations. ssh-keygen Il vous permet désormais de définir ou de supprimer des indicateurs. touch-required y verify-required des clés privées FIDO en même temps que le mot de passe de la clé est réinitialisé.
Le client SSH modifie également l'ordre dans lequel il tente d'utiliser les certificats lors de l'authentification par clé publique. Les clés FIDO ne nécessitant pas la présence de l'utilisateur sont testées en premier, tandis que celles nécessitant une vérification par code PIN ou une authentification biométrique sont essayées ultérieurement.
Cette version intègre également diverses corrections opérationnelles. ssh-keyscan Il procède à la lecture des bannières du serveur via une opération non bloquante, empêchant ainsi un serveur non réactif de retarder une analyse couvrant de nombreuses machines. En revanche, les erreurs provenant du traitement des paquets dans sshd Ils fournissent désormais des informations supplémentaires sur l'ordinateur distant, notamment son adresse, son port et son utilisateur.
OpenSSH se prépare à des mises à jour plus fréquentes en raison de l'augmentation des analyses basées sur l'IA.
L'un des aspects les plus marquants d' OpenSSH 10.5 ne réside pas dans une fonctionnalité spécifique, mais plutôt dans l'explication qui accompagne sa sortie. Les développeurs affirment avoir récemment reçu un grand nombre de rapports de sécurité obtenus directement grâce à des modèles d'intelligence artificielle ou à l'aide de ces outils.
Ces rapports ne reflètent pas tous des vulnérabilités réelles. D'après le projet, nombre d'entre eux perdent de leur importance lorsqu'ils sont analysés à l'aide de modèles de menaces réalistes. L'équipe considère toutefois que les rapports générés par l'IA sont utiles lorsqu'ils sont complétés par une analyse humaine, des cas de test et des mesures correctives proposées.
Il est particulièrement important de les prendre au sérieux car certaines vulnérabilités initialement détectées par des outils d'IA ont ensuite été découvertes indépendamment par d'autres chercheurs en sécurité. Pour l'équipe OpenSSH, cela soulève la possibilité que des acteurs malveillants utilisent des outils similaires pour identifier des failles qui ne sont pas signalées de manière responsable.
Par conséquent, le projet indique qu'il prévoit, du moins pour l'instant, de publier de nouvelles versions plus fréquemment afin que les correctifs soient accessibles aux utilisateurs plus rapidement, au lieu d'attendre systématiquement le calendrier de publication habituel. OpenSSH 10.5 est désormais disponible sur les miroirs officiels du projet, pour OpenSSH et OpenSSH portable.
Avec cette stratégie, OpenSSH 10.5 améliore non seulement la sécurité de l'un des outils essentiels de Linux, mais reflète également la manière dont le développement de logiciels libres commence à s'adapter au nouveau scénario de la recherche de vulnérabilités assistée par l'IA.