OpenSSH 10.1: Penanganan DSCP Baru, Depresiasi SHA1 SSHFP Diumumkan

OpenSSH 10.1 kini tersedia, menampilkan perubahan penanganan DSCP, perbaikan keamanan, dan rencana untuk menghentikan penggunaan SHA1 SSHFP.

Proyek OpenSSH, yang dikembangkan dan dikelola di bawah naungan OpenBSD, mengumumkan rilis OpenSSH 10.1, seperangkat alat aman yang banyak digunakan untuk login jarak jauh dan transfer file melalui koneksi terenkripsi. Sekarang tersedia untuk diunduh di mirror resminya.

Perubahan utama dalam rilis ini adalah rencana penghapusan penggunaan catatan DNS SSHFP SHA1, yang segera akan diabaikan karena kelemahan pada algoritma SHA1. Mulai sekarang, ssh-keygen -r hanya akan menghasilkan catatan SSHFP berbasis SHA256.

OpenSSH 10.1 juga memperkenalkan peringatan untuk kesepakatan kunci non-post-quantum, menyoroti risiko serangan "simpan sekarang, dekripsi nanti". Perilaku ini dikendalikan oleh opsi baru WarnWeakCrypto, yang diaktifkan secara default.

Perbaikan keamanan kecil juga dimasukkan dalam rilis ini. Perbaikan ini mencegah karakter kontrol disertakan dalam nama pengguna yang diberikan melalui baris perintah SSH atau URI yang tidak tepercaya, mengatasi potensi masalah injeksi shell ketika ProxyCommand dikonfigurasi untuk menggunakan ekspansi nama pengguna.

Versi ini membawa perubahan besar pada DSCP (IPQoS). Lalu lintas SSH interaktif sekarang secara default menggunakan kelas Expedited Forwarding untuk latensi yang lebih baik, sementara lalu lintas non-interaktif, seperti transfer SFTP, menggunakan default sistem. Selain itu, kata kunci ToS IPv4 lama seperti lowdelay, reliability, dan throughput sekarang diabaikan, digantikan oleh penandaan DSCP modern.

Di sisi ssh-agent, sekarang menyimpan soketnya di bawah ~/.ssh/agent alih-alih /tmp, meningkatkan keamanan pada sistem terbatas. Selain itu, ia juga secara otomatis membersihkan soket lama dan dapat menghapus sertifikat yang kedaluwarsa segera setelah kedaluwarsa.

Perubahan penting lainnya termasuk penambahan dukungan kunci ed25519 pada token PKCS#11, opsi baru RefuseConnection di ssh_config, dan meningkatkan batas ukuran konfigurasi dari 256 KB menjadi 4 MB. Rilis ini juga memperbaiki keterlambatan pada klien X, meningkatkan diagnostik untuk pemuatan kunci, dan menyelesaikan beberapa kebocoran memori.

Terakhir, versi portabel mencakup perbaikan kompatibilitas kecil untuk Linux, macOS, dan BSD, serta utilitas askpass GNOME 40+ baru. Ini juga meningkatkan penanganan PAM, sandboxing seccomp, dan dukungan syscall futex pada sistem 32-bit.

Untuk informasi lebih lanjut, lihat catatan perubahan.