Software::Netzwerk
OpenSSH 5.9 freigegeben
Die neue OpenSSH-Version 5.9 liefert eine Reihe von Verbesserungen und neuen Funktionen. Darunter ist besonders die Möglichkeit hervorzuheben, den Kindprozess, der die Authentifikation durchführt, in einem Sandkasten laufen zu lassen.
Die OpenSSH (SSH steht für Secure Shell) ist ein sicherer Telnet-Ersatz, der Verbindungen zwischen zwei Rechnern verschlüsselt. Das Paket besteht aus einem Server- und einem Client-Programm sowie Hilfsprogrammen. Darüber hinaus unterstützt es sicheres FTP (SFTP) und sicheres Kopieren auf andere Rechner (SCP).
Seit zehn Jahren bietet OpenSSH bereits die Möglichkeit, die Kindprozesse, die das Login der Benutzer ermöglichen, unter einem separaten, weniger privilegierten Benutzerkonto zu starten. Damit muss nur der Hauptprozess, der standardmäßig an Port 22 auf Verbindungen wartet, mit Root-Rechten laufen. Der betreffende Code ist überschaubar und entsprechend leicht gegen Sicherheitslücken abzusichern. Der wesentlich umfangreichere Teil, der neue Netzwerkverbindungen und die Authentifikation behandelt, kann in der neuen Version 5.9 noch weiter abgesichert werden. Möglich wird das durch die neue Direktive UsePrivilegeSeparation=sandbox. Diese lässt den Prozess in einem Sandkasten laufen, in dem nur spezifische Systemaufrufe erlaubt sind. Die Einschränkungen beziehen sich lediglich auf den SSHD-Prozess, nicht aber auf die Shell, die der Benutzer ausführt. Für die Benutzer soll sich somit nichts ändern. Da die neue Funktion noch als experimentell gilt, ist sie nicht standardmäßig aktiviert.
Das Projekt stellt derzeit drei verschiedene Implementationen des Sandkastens zur Verfügung. Je nach Betriebssystem können mehr oder weniger dieser Implementierungen genutzt werden. Die systrace-Sandbox nutzt das nur auf BSD-Systemen vorhandene systrace-Subsystem. Dieses lässt nur Systemaufrufe zu, die in einer vorgegebenen Liste enthalten sind. Nur auf Darwin und Mac OS X läuft die seatbelt-Sandbox, die dort den sandbox-Aufruf benutzt. Für alle anderen Systeme einschließlich Linux ist nur die rlimit-Sandbox vorhanden, die lediglich das Starten von neuen Prozessen und Öffnen von Netzwerkverbindungen verhindert. Erwünscht sind weitere Implementierungen, z.B. solche, die Linux-Namespaces verwenden.
Eine andere Erweiterung in OpenSSH 5.9 sind die auf SHA256 beruhenden HMAC-Verschlüsselungsalgorithmen. Daneben wurden mehrere Optionen, darunter AuthorizedKeysFile, so erweitert, dass sie mehrere Pfade enthalten können. Damit können die Optionen AuthorizedKeysFile2, UserKnownHostsFile2 usw. entfallen. Sie werden vorerst noch unterstützt, sollten aber nicht mehr verwendet werden. Die weiteren Verbesserungen und Korrekturen können in der Ankündigung der neuen Version nachgelesen werden.
