Okrem označenia verzie, OpenSSH 10.1 konsoliduje cestu začatú sériou 10: migrácia na postkvantovú kryptografiu, modernizácia QoS s DSCP a posilnenie historicky citlivých oblastí (agenti, kľúče, registre a parsovanie parametrov). Nižšie nájdete dôkladný prehľad všetkých nových funkcií (s kontextom, kde to prináša pridanú hodnotu), ako aj praktické pokyny na ich prijatie bez prekvapení.
Nasleduje zoznam s Čo je nové v tejto verzii, k dispozícii aj v oficiálne poznámky.
Hlavné body a kontext vydania
Oficiálne vydanie OpenSSH 10.1 (2025-10-06) zdôrazňuje tri osi: Preventívna bezpečnosť proti kvantovej kryptografii, sieťam DSCP a sanitácii vstupovTaktiež spája špecifické zmeny s vysokým prevádzkovým dopadom: od trás soketov agentov až po nové diagnostické príznaky.
Dôležitá pripomienka projektu: Budúca verzia bude ignorovať protokoly SSHFP založené na SHA-1.Kým ssh-keygen -r teraz štandardne generuje odtlačky prstov SSHFP iba s SHA-256, zatváranie dverí slabým hashom pre overenie DNSSEC a kľúča hostiteľa.
Varovanie pred ne-postkvantovou kryptografiou a nová možnosť WarnWeakCrypto
OpenSSH 10.1 zavádza varovanie, keď pripojenie vyjednáva výmenu kľúčov, ktorá nie je odolný voči postkvantovým útokomCieľom je zamerať sa na riziko „uložiť teraz, dešifrovať neskôr“ a urýchliť prechod v citlivých prostrediach.
Toto správanie je kontrolované pomocou WarnWeakCrypto (Na ssh_config), čo je predvolene povolené. Ak vykonávate postupnú migráciu alebo udržiavate staršie hostiteľské systémy, Upozornenie môžete selektívne vypnúť s blokmi Match. Napríklad:
Zhoda s hostiteľom unsafe.example.com WarnWeakCrypto nie
Kryptografia a súčasný stav techniky: PQC, hybridy a SSHFP
Vo verzii 10.0 klient prepol na predvolené používanie mlkem768x25519‑sha256, hybridný postkvantový algoritmus, ktorý kombinuje ML-KEM (KEM NIST FIPS 203) s X25519. Táto hybridná stratégia zabezpečuje, že aj keby došlo k kryptoanalytickému prielomu na strane PQ, nebol by si na tom horšie ako s klasickým ECDH pretože kanál si zachováva silu X25519.
Vo verzii 10.1 je okrem vyššie uvedeného upozornenia prechod posilnený: OpenSSH bude v budúcnosti naďalej ignorovať SSHFP s SHA-1.nástroj ssh-keygen už vydáva SSHFP výhradne s SHA-256. Z prevádzkového hľadiska je odporúčaným postupom regenerovať a publikovať odtlačky prstov SSHFP v SHA-256 pre vašich hostiteľov.
Často kladené otázky: Prečo na tom teraz trvať, ak kvantové počítače ešte nedokážu prelomiť SSH? Pretože útočníci môžu zachytiť dnes a dešifrovať zajtra. Použitie postkvantového KEX už tento vektor zmierňuje. A ak sa obávate o mladosť PQ algoritmov, pamätajte, že hybridná metóda zachováva klasickú úroveň zabezpečenia ako základ.
Modernizácia siete: DSCP/IPQoS a prioritizácia prevádzky
Táto verzia konsoliduje hĺbkovú revíziu QoS. Na klientovi aj serveri, Interaktívna prevádzka je predvolene nastavená na triedu EF (Expedited Forwarding), čo pomáha znižovať latenciu na Wi-Fi a preťažené médiá. Neinteraktívna prevádzka sa prepne na používanie predvolená značka DSCP systému, bez zvýšenia priority.
V praxi oboje ssh(1) a sshd(8) sa dynamicky menia použitá značka podľa typu prítomných kanálov: ak to isté spojenie kombinuje škrupinu a sftp, fáza neinteraktívneho prenosu počas operácie použije neinteraktívnu hodnotu a v prípade potreby sa vráti do EF. Toto je riadené kľúčom IPQoS en ssh_config y sshd_config.
Okrem toho, Podpora starších podmienok služby IPv4 sa ruší v možnosti IPQoS (lowdelay, throughput, reliability prestali účinkovať). Ak ste ich stále používali, migruje na nomenklatúru DSCP (Napr., ef, cs0, af11, Atď).
Spevnenie vstupu: používatelia, URI a rozšírenia
V sekcii o zabezpečení verzia 10.1 opravuje nenápadný prípad, keď ste vytvorili príkazové riadky s externými údajmi a zároveň ste použili ProxyCommand s rozšíreniami %r/%u, útočník by mohol prepašovať výrazy shellu. Aby sa to zmiernilo, ssh(1) teraz zakazuje riadiace znaky v používateľoch odovzdaných cez CLI alebo rozšírených používateľocha tiež blokuje nulový znak v URI ssh://.
Poznámka k kompatibilite: Bod overovania bol uvoľnený, aby sa predišlo narušeniu legitímnych prípadov. Doslovné používateľské mená definované v konfiguračných súboroch Rozšírenia (bez %) sú vyňaté na základe toho, že lokálna konfigurácia sa považuje za dôveryhodnú.
Živé signály a informácie: SIGINFO a viditeľnosť
Ďalší praktický tip na ladenie: ssh(1) a sshd(8) získavajú obslužné rutiny SIGINFO ktoré zaznamenávajú stav aktívnych kanálov a relácií. V produkčnom prostredí toto uľahčuje diagnostiku toku, multiplexovanie, preposielanie a X11 bez nutnosti pripojiť debugger alebo invazívne zvyšovať výrečnosť.
V súlade s rovnakými zásadami transparentnosti, keď overenie certifikátu zlyhá, sshd teraz zaznamenáva dostatok informácií na identifikáciu certifikátu (ako aj dôvod zamietnutia). Ak pracujete s PKI a certifikátmi používateľa/hostiteľa, toto vylepšenie výrazne skracuje časy riešenia.
ssh-agent a kľúče: sockety, sanitizácia a PKCS#11
Aby sa zabránilo krížovému prístupu v prostrediach s obmedzenou montážou /tmp, sokety agentov (a tie, ktoré preposiela sshd) Viem presunúť z /tmp do ~/.ssh/agentProces s obmedzenými oprávneniami teda /tmp už omylom nededí schopnosť podpisovať sa pomocou vašich kľúčov od agenta.
Táto zmena má aj ďalší derivát: predtým, ako OS dokázal čistiť zastarané sockety, teraz ssh-agent má vlastné čistenie zo starých socketov. Okrem toho agent pridá nové príznaky: -U y -u kontrolovať čistotu pri spustení, -uu ignorovať názov hostiteľa pri čistení a -T vynútiť si historické miesto /tmp ak to naozaj potrebujete.
V kľúčovej rovine klient a agent ED25519 hostované na tokenoch PKCS#11 sú teraz podporovanéAk sa spoliehate na HSM alebo kryptografické kľúče, získate flexibilitu bez straty pevnosti.
ssh-add a certifikáty: samočistiaca expirácia
Keď pridáte certifikáty do agenta, Jeho expirácia je teraz nastavená s 5-minútovou ochrannou lehotou.Myšlienka je jednoduchá: umožniť dokončenie transakcií vo fronte a potom, automaticky odstrániť certifikát agentaAk si váš tok vyžaduje úplnú kontrolu, ssh‑add -N zakázať toto správanie.
RefuseConnection: odpojenia riadené klientom
Existujú scenáre, kedy máte záujem o prerušenie pripojenia zo strany samotného klienta s jasnou správou (napríklad prevádzkové presmerovania alebo oznámenia o zastaraní). OpenSSH 10.1 pridáva Odpadové pripojenie a ssh_config: ak sa vyskytne počas spracovania horúcej sekcie, klient ukončí s chybou a zobrazí text, ktorý ste definovali.
Kvalita kódu a bezpečnosť v reálnom čase
Tím pokračuje v čistení kódovej základne. Zoznamy verzie 10.1 opravené úniky pamäte, vylepšenia Atomie pri písaní known_hosts s vysokou účasťou a niekoľkými podmienky rasy vyriešené v procesoch, ako sú MaxStartups alebo relácie X11.
Poznámka k čisteniu kryptomien: podpora pre XMSS je odstránená (experimentálne a nikdy nie štandardne). Príprava pôdy pre schémy postkvantového podpisu zrelšie, ktoré budú uvedené v budúcich verziách.
Prenosnosť a ekosystém: PAM, FreeBSD, macOS, Android…
Zmeny prenositeľnosti ovplyvňujú mnoho oblastí: dodatočné kontroly v prostrediach PAM (napríklad zabezpečenie toho, aby sa používateľ počas procesu nemení), vylepšenia integrácie s FreeBSD (preposielanie a kompatibilita tunov), macOS (robustná detekcia funkcií a hlavičiek) a Android (štruktúra passwd s poľami inými ako null).
Pre platformy bez určitých štandardných knižníc sa pridávajú aj hlavičky kompatibility, čím sa znižuje počet #ifdef rozptýlené. Nakoniec sú rafinované pravidlá sandboxu seccomp v Linuxe na pokrytie systémových volaní ako futex_time64 v 32-bitovej verzii a pridaná je podpora pre AWS-LC ako alternatíva k OpenSSL/LibreSSL.
QoS v praxi: Praktické príklady a migrácia IPQoS
Ak ste použili staré aliasy Podmienok používania (lowdelay, throughput...), teraz ich budú ignorovať a zobrazí sa vám ladiaca správa s návrhom na DSCP. Typická migrácia by bola prechod z IPQoS lowdelay a IPQoS ef pre interaktívne relácie; ak používate aj intenzívny SFTP, mohli by ste definovať profily podľa zhody en ssh_config/sshd_config oddeliť premávku.
Pamätajte, že motor automaticky vyberá a aktualizuje Značí v reálnom čase na základe otvorených kanálov, takže väčšinu práce už za vás vykoná OpenSSH.
Inštalácia OpenSSH 10.1 na Linuxe (zdroj)
Zatiaľ čo distribúcie integrujú verziu, môžete skompilovať z oficiálneho zdrojaStiahnite si tarball z mirrorov projektu, rozbaľte ho a skompilujte:
tar -xvf openssh -10.1.tar.gz
Vstúpte do adresára a konfigurovať prefixy a konfiguračné trasy ak to potrebujete. Napríklad:
cd openssh-10.1 ./configure --prefix=/opt --sysconfdir=/etc/ssh
Kompilujte a nainštalujte ako zvyčajne (v závislosti od oprávnení, možno so superpoužívateľom):
činiť
make install
Povolenie OpenSSH vo Windowse pomocou PowerShellu
V moderných prostrediach Windows (Server 2019/Windows 10 1809+), Klienta a server OpenSSH môžete nainštalovať ako systémové funkcie.Skontrolujte kapacity a stav:
Get-WindowsCapability-Online | Názov objektu Where - napríklad 'OpenSSH*'
Nainštalujte komponenty ako potrebujete:
Add-WindowsCapability -Online -Názov OpenSSH.Client~~~~0.0.1.0 Add-WindowsCapability -Online -Názov OpenSSH.Server~~~~0.0.1.0
Spustite a povoľte službu SSH serveraa skontrolujte pravidlo brány firewall pre vstupné siete:
Start-Service sshd Set-Service -Názov sshd -StartupType 'Automatic' Get-NetFirewallRule -Názov 'OpenSSH-Server-In-TCP' -ErrorAction SilentlyContinue
Ak sa chcete pripojiť z iného hostiteľa so systémom Windows alebo Linux, použite štandardného klienta: ssh dominio\usuario@servidorPri prvom prístupe prijíma odtlačok prsta hostiteľa a overte sa pomocou svojho hesla.
Prevádzková príručka: diagnostika a osvedčené postupy
Pre prostredia s certifikátmi používateľa/hostiteľa, využiť vylepšené logovanie zamietnutí v sshd ladiť certifikačné autority a rozšírenia. Ak sa relácia zasekne alebo máte podozrenie na multiplexovanie, spúšťa SIGINFO k procesu zobrazenia aktívnych kanálov bez zvýšenia globálnej úrovne protokolovania.
Ak ste závislí od agentov, skontrolujte, kde sa teraz nachádzajú zásuvky (~/.ssh/agent) A aktivovať automatické čistenie vo vašom modeli nasadenia. Na zdieľaných pracovných staniciach alebo pracovných staniciach NFS zvážte použitie príznaku agenta na nastavenie hash názvov hostiteľov v ceste, keď je to potrebné.
Najrelevantnejšie opravy chýb
V 10.1 sú vyriešené menšie regresie v X11 v kombinácii so zmiernením srdcovej frekvencie (ObscureKeystrokeTiming), prípad Zlé účtovníctvo spoločnosti MaxStartups ktoré by mohli zaplaviť sloty a písanie known_hosts teraz je to hotové v atómových operáciách aby sa predišlo prekladaným riadkom s vysokou súbežnosťou.
Ďalšie opravy sa zlepšujú diagnostika pri načítavaní kľúčov, spracovanie limitov veľkosti konfigurácie (od 256 KB do 4 MB), výstup auditu a exotické rohové prípady v lokálnych preposielaniach a kontrolných sekvenciách. Okrem toho správy a výstup z ssh -G y sshd -T.
Odporúčaný kontrolný zoznam migrácie
Tento rýchly zoznam Zahŕňa úlohy, ktoré samotný projekt navrhuje a čo vyplýva zo zmien:
- Criptaskontrolujte, či je váš
KexAlgorithmsumožňuje hybridné PQ a generuje nové SSHFP v SHA-256 sssh-keygen -r. - QoS: odhlásiť sa
IPQoSna platforme klient/server; migrácia starších podmienok služby na DSCP; využitie EF pre interaktívne relácie. - Agenti: prispôsobuje skripty a premenné socketom pod
~/.ssh/agentcení si automatické čistenie samotným prostriedkom. - Veľké konfigurácieAk generujete hromadné konfigurácie, limit sa zvýši na 4 MB; aplikujte to múdro a riadi validáciu.
- Analyzátory: vyhnite sa vytváraniu príkazových riadkov z nedôveryhodného vstupu; použite
configlokálne s literálmi, keď máte zvláštne prípady v používateľských menách.
Tí, ktorí spravujú zmiešané vozové parky, ocenia, že 10.1 stlačte bezpečnosť tam, kde to najmenej bolí (parsery, agenti, varovania) a zároveň zlepšiť každodenný zážitok (Dynamická QoS, SIGINFO, protokolovanie certifikátov). Ak ste už používali verziu 10.0, prechod je jednoduchý; ak prechádzate z verzie 9.x, venujte čas vyladeniu DSCP, regenerácii SSHFP na SHA-256 a povoleniu hybridných KEX, aby ste sa ochránili pred kvantovou hrozbou bez toho, aby ste obetovali výkon.
