OpenSSH

Trinity เซ็ง OpenSSH ประกาศวันเลิกรองรับ SSHv1 เดือนสิงหาคม 2017

By lew

on 20 December 2016 - 12:33 Tag: OpenSSH, Cryptography, Security

OpenSSH

OpenSSH เซิร์ฟเวอร์สำหรับการเข้าจัดการเครื่องจากระยะไกลที่ได้รับความนิยมสูง ปรับปรุงโปรโตคอลเป็น SSHv2 มานานและคอนฟิกเริ่มต้นก็มักจะรองรับ SSHv2 อย่างเดียว แต่ตัวซอฟต์แวร์ก็ยังรองรับ SSHv1 เรื่อยมา แม้ว่าจะลินุกซ์หลายรายจะปิดฟีเจอร์นี้ตั้งแต่การคอมไพล์ก็ตาม

ตอนนี้ OpenSSH ออกเวอร์ชั่น 7.4 พร้อมกับประกาศยกเลิกการซัพพอร์ต SSHv1 ออกทั้งหมดภายในเดือนสิงหาคม 2017 ทำให้หลังจากกำหนดนี้ จะไม่มีตัวเลือกใดๆ ให้ใช้งาน SSHv1 อีก

ช่องโหว่ของ SSHv1 CRC32 เป็นช่องโหว่ที่ Trinity ใช้เจาะเข้าเครือข่ายของโรงงานไฟฟ้าในภาพยนตร์เรื่อง The Matrix

พบช่องโหว่ในไคลเอนต์ OpenSSH ทำกุญแจลับหลุดได้

By lew

on 15 January 2016 - 09:26 Tag: Security, OpenSSH

Security

ไคลเอนต์ OpenSSH ตั้งแต่รุ่น 5.4 (ออกปี 2010) เป็นต้นไป มีฟีเจอร์ Roaming ที่เปิดเป็นค่าเริ่มต้น โดยหากเซิร์ฟเวอร์เปิดฟีเจอร์นี้ไว้เหมือนกันก็จะกลับมาเชื่อมต่อได้หลังจากการเชื่อมต่อหลุดไป

ฝั่งเซิร์ฟเวอร์ยังไม่ได้รองรับฟีเจอร์นี้ แต่ช่องโหว่ในโค้ดก็ทำให้คนร้ายสามารถสร้างเซิร์ฟเวอร์เพื่อดึงเอากุญแจลับออกจากไคลเอนต์ เพราะโค้ดเชื่อขนาดข้อมูลที่ได้รับจากเซิร์ฟเวอร์และอ่านข้อมูลส่งกลับไป

ทาง Qualys วิเคราะห์ช่องโหว่แล้วพบว่า จะใช้งานจริงได้ จำเป็นต้องเปิดออปชั่น ProxyCommand คู่กับ ForwardX11 หรือ ForwardAgent เอาไว้ ทำให้การแฮกจริงจังคงทำได้จำกัด

ไมโครซอฟท์ปล่อย OpenSSH สำหรับวินโดวส์แล้ว

By lew

on 20 October 2015 - 12:54 Tag: Open Source, OpenSSH, Microsoft

Open Source

ทีมงาน PowerShell ประกาศมาตั้งแต่กลางปีว่าต้องการซัพพอร์ต OpenSSH บนวินโดวส์ ตอนนี้ผลของความพยายามก็เป็นรูปเป็นร่างขึ้นมาแล้ว เมื่อทีมงานปล่อยโค้ด Win32-OpenSSH ออกมา

การพอร์ต OpenSSH มาอยู่บนวินโดวส์ก่อนหน้านี้พัฒนาโดยทาง NoMachine และรุ่นนี้่ทางไมโครซอฟท์ก็ยังร่วมมือกับ NoMachine ต่อไป แต่หันมาใช้โค้ด OpenSSH 7.1 แทนที่ OpenSSH 5.9 ที่ NoMachine เคยพอร์ตมา

OpenSSH 7.0 ออกแล้ว ยกเลิกกระบวนการเข้ารหัสเก่าหลายรายการ

By lew

on 12 August 2015 - 15:31 Tag: Open Source, Security, OpenSSH

Open Source

OpenSSH ออกรุ่น 7.0 แม้ตัวเลขหลักจะเพิ่มขึ้น แต่เป็นเพราะความเปลี่ยนแปลงหลายจุดทำให้รุ่นใหม่อาจจะทำงานร่วมกับคอนฟิกเก่าๆ ไม่ได้

ความเปลี่ยนแปลงสำคัญในรุ่นนี้คือการยกเลิกกระบวนการเข้ารหัสที่อ่อนแอหลายรายการ ได้แก่, RSA 768 บิตหรือเล็กกว่า, Blowfish-CBC, CAST-128-CBC, RC4, Rajindael-CBC, MD5, และการล็อกอินด้วยใบรับรอง DSS ฟีเจอร์ที่ยกเลิกไปหลายส่วนปรับเพียงค่าคอนฟิกให้ปิดไว้เป็นค่าเริ่มต้น แต่บางส่วนก็เป็นคอนฟิกระดับคอมไพล์ ถ้าคนโหลดไบนารีเวอร์ชั่นใหม่ๆ ก็จะเปิดใช้งานไม่ได้เลย ต้องคอมไพล์เองเท่านั้น

ช่องโหว่ใน OpenSSH บน FreeBSD เปิดช่องให้แฮกเกอร์เดารหัสผ่านได้นับหมื่นครั้ง

By lew

on 22 July 2015 - 13:03 Tag: Security, OpenSSH

Security

นักวิจัยความปลอดภัยใช้ชื่อว่า KingCope รายงานช่องโหว่ของ OpenSSH ในส่วนการยืนยันตัวตนผู้ใช้ด้วยรหัสผ่านเมื่อเปิดออปชั่น KbdInteractiveDevices ขึ้นใช้งาน (บน FreeBSD เปิดเป็นค่าเริ่มต้น) จะทำให้แฮกเกอร์สามารถเดารหัสผ่านได้จนกว่าช่วงเวลาล็อกอินจะหมด

ค่าเริ่มต้นของช่วงเวลาล็อกอินคือ 2 นาทีทำให้แฮกเกอร์อาจจะเดารหัสผ่านได้ถึง 10,000 รหัสในการล็อกอินแต่ละครั้ง สูงกว่าการล็อกอินโดยทั่วไปที่มักล็อกให้ทดลองรหัสได้เพียงสามครั้งเท่านั้น

KingCope รายงานว่าช่องโหว่นี้ใช้งานได้กับ OpenSSH 6.2 บน FreeBSD 10.1 ยังไม่มีรายงานเพิ่มเติมว่ากระทบเวอร์ชั่นใดแล้วบ้าง

ไมโครซอฟท์บริจาคเงินเข้าโครงการ OpenBSD กลายเป็นสปอนเซอร์ระดับ Gold รายแรก

By lew

on 9 July 2015 - 09:27 Tag: OpenBSD, OpenSSH, Microsoft

OpenBSD

ไมโครซอฟท์บริจาคเงินเข้าโครงการ OpenBSD โดยไม่เปิดเผยจำนวนเงิน แต่ทาง OpenBSD ก็ออกมาระบุว่าโครงการระดมทุนปีนี้ไมโครซอฟท์เป็นสปอนเซอร์ระดับ Gold เป็นรายแรก

ผู้สนับสนุนระดับ Gold จะต้องบริจาคเงินตั้งแต่ 25,000 ดอลลาร์ถึง 50,000 ดอลลาร์ ก่อนหน้านี้เฟซบุ๊กและกูเกิลบริจาคระดับ Broze ที่ต้องบริจาคเงิน 10,000 ถึง 25,000 ดอลลาร์ ระดับที่สูงกว่านี้คือ Platinum 50,000 ถึง 100,000 ดอลลาร์ และ Iridium 100,000 ถึง 250,000 ดอลลาร์ โครงการระดมทุนของ OpenBSD ปีนี้ตั้งเป้าระดมทุนไว้ที่ 200,000 ดอลลาร์ ตอนนี้ได้รับเงินแล้ว 125,000 ดอลลาร์

GitHub ยกเลิกกุญแจ SSH อ่อนแอจากบั๊ก Debian

By lew

on 3 June 2015 - 13:39 Tag: Security, GitHub, OpenSSH

Security

GitHub ประกาศกวาดล้างกุญแจ SSH ที่อ่อนแอเนื่องจากบั๊กในเดเบียนตั้งแต่ปี 2008 แม้จะผ่านไปแล้วหลายปีและโครงการลินุกซ์จำนวนมากออกสคริปต์เตือนให้ผู้ใช้สร้างกุญแจใหม่แล้ว แต่ก็ยังมีผู้ใช้จำนวนมากใช้กุญแจเหล่านี้อยู่ และยังใช้สำหรับ GitHub ทำให้เสี่ยงต่อการถูกปลอมตัวเพื่อส่งโค้ดเข้าไปโครงการสำคัญหลายโครงการ

โครงการที่ได้รับผลกระทบบางส่วน เช่น Django, gov.uk, Couchbase, Spotify, และ Python

นอกจากกุญแจอ่อนแอจากเดเบียนแล้วยังมีผู้ใช้จำนวนไม่มากใช้กุญแจ RSA ขนาด 256 บิตและ 512 บิตซึ่งถอดรหัสได้โดยง่าย

ทีมงาน PowerShell พยายามซัพพอร์ต SSH เป็นครั้งที่สาม

By lew

on 3 June 2015 - 11:00 Tag: Server, OpenSSH, PowerShell, Microsoft

Server

ทีมงาน PowerShell ประกาศว่ากำลังพยายามจะทำให้ PowerShell สามารถเชื่อมต่อเข้าไปยังเซิร์ฟเวอร์ลินุกซ์ด้วยโปรโตคอล SSH และจะเข้าไปช่วยเหลือในโครงการ OpenSSH อีกด้วย

ความพยายามครั้งนี้เป็นความพยายามครั้งที่สามของทีมงาน PowerShell โดยข้อเสนอนี้ใน PowerShell รุ่นแรกและรุ่นที่สองถูกตีตกไปทั้งสองครั้ง แต่ความเปลี่ยนแปลงในไมโครซอฟท์ช่วงหลังที่เป็นมิตรกับชุมชนโอเพนซอร์สมากขึ้นทำให้ความพยายามรอบนี้มีความหวังมากขึ้นกว่ารอบก่อนๆ

OpenSSH สามารถทำงานโดยไม่มี OpenSSL แล้ว

By lew

on 9 May 2014 - 20:51 Tag: Security, OpenBSD, Heartbleed, OpenSSH

Security

OpenSSH เริ่มคอมไพล์โดยไม่มี OpenSSL ได้แล้วในรุ่นล่าสุดที่เพิ่งส่งโค้ดเข้าโครงการเมื่อวันที่ 29 เมษายนที่ผ่านมา อย่างไรก็ดีเพื่อคอมไพล์โดยไม่ใช้ OpenSSL จะทำให้กระบวนการเข้ารหัสลดลงเหลือเพียงไม่กี่รูปแบบเท่านั้น

กระบวนการเข้ารหัสที่รองรับหากไม่คอมไพล์กับ OpenSSL ได้แก่ AES-CTR, ChaCha + Poly1305 และกระบวนการแลกกุญแจจะเหลือเพียง ECDH/Curve25519 เท่านั้น