OpenSSH 9.9 presenta algoritmi migliorati resistenti ai quanti

OpenSSH 9.9 è ora disponibile! Supporto per lo scambio di chiavi post-quantum, funzionalità di sicurezza migliorate e correzioni di bug.

Il progetto OpenSSH ha annunciato il rilascio di OpenSSH 9.9, ora disponibile per il download sui suoi mirror ufficiali.

Questa nuova versione introduce funzionalità significative, incluso il supporto per lo scambio di chiavi ibrido post-quantistico utilizzando un'implementazione ML-KEM formalmente verificata, controlli migliorati per la gestione delle connessioni indesiderate, codice di scambio di chiavi NTRUPrime più veloce e altro ancora.

OpenSSH 9.9: nuove funzionalità

Una delle aggiunte più importanti di OpenSSH 9.9 è il supporto per un nuovo metodo ibrido di scambio di chiavi post-quantiche.

Questo metodo combina il meccanismo di incapsulamento delle chiavi Module-Lattice FIPS 203 (ML-KEM) con X25519 Elliptic Curve Diffie-Hellman (ECDH), migliorando la sicurezza contro potenziali minacce dell'informatica quantistica.

L'algoritmo, denominato mlkem768x25519-sha256, è abilitato per impostazione predefinita, segnando un passo significativo verso gli standard crittografici post-quantistici.

Inoltre, la direttiva ssh_config “Include” ora supporta l'espansione delle variabili di ambiente e lo stesso set di token % della direttiva “Match Exec ", consentendo così file di configurazione più flessibili e dinamici.

OpenSSH 9.9 introduce anche una nuova opzione "RefuseConnection" in sshd_config. Se impostato, termina le connessioni alla prima richiesta di autenticazione, fornendo agli amministratori uno strumento per eliminare rapidamente le connessioni indesiderate.

In aggiunta a ciò, una nuova classe di penalità "refuseconnection" in sshd_config "PerSourcePenalties" applica penalità quando una connessione viene interrotta utilizzando la classe "RefuseConnection " parola chiave.

Inoltre, le opzioni "Match" di sshd_config ora includono un predicato "Match invalid-user". Questa funzionalità funziona quando il nome utente di destinazione non è valido sul server, consentendo un controllo più granulare sui tentativi di autenticazione.

La versione aggiorna inoltre il codice Streamlined NTRUPrime per un'implementazione sostanzialmente più rapida, migliorando le prestazioni complessive.

Correzioni di bug

Per quanto riguarda le correzioni di bug, OpenSSH 9.9 risolve anche diversi bug:

• Analisi del nome del tipo di chiave: applica un'analisi più rigorosa dei nomi dei tipi di chiave, consentendo solo nomi brevi nel codice dell'interfaccia utente e richiedendo nomi di protocollo SSH completi altrove.
• Requisito percorso assoluto rilassato: ripristina il comportamento precedente in cui sshd non richiede un percorso assoluto quando viene avviato in modalità inetd.
• Correzioni di registrazione: corregge un problema per cui gli indirizzi di origine e di destinazione venivano scambiati in alcuni messaggi di registro sshd.
• Gestione delle chiavi autorizzate: risolve un problema per cui le opzioni autorizzate_keys venivano applicate in modo errato quando la verifica della firma non riusciva.
• Analisi utente@host: OpenSSH 9.9 garantisce un'analisi coerente cercando l'ultimo "@" nella stringa, consentendo i nomi utente che contengono "@" caratteri.

Avviso di deprezzamento

Tieni presente che OpenSSH prevede di rimuovere il supporto per l'algoritmo di firma DSA all'inizio del 2025. La versione 9.9 disabilita DSA per impostazione predefinita in fase di compilazione. DSA, come specificato nel protocollo SSHv2, è intrinsecamente debole, essendo limitato a una chiave privata a 160 bit e all'uso del digest SHA1, offrendo un livello di sicurezza stimato di soli 80 bit equivalenti simmetrici.

OpenSSH scoraggia l'uso delle chiavi DSA dal 2015, mantenendo solo il supporto runtime opzionale. Il motivo è che con algoritmi migliori ampiamente supportati in tutte le implementazioni SSH mantenute attivamente, i costi di mantenimento dei DSA non sono più giustificati.

Controlla le note di rilascio per informazioni dettagliate su tutte le modifiche in OpenSSH 9.9.