OpenSSH bringt erstmals hybride Post-Quantum-Signaturen

Mit OpenSSH 10.4 ist eine neue Version der weitverbreiteten SSH-Implementierung erschienen. Im Mittelpunkt stehen mehrere Sicherheitskorrekturen für SSH-, SCP- und SFTP-Komponenten sowie Protokollverschärfungen, die Angriffsflächen verkleinern sollen. Ferner führt das Projekt erstmals experimentelle Unterstützung für ein hybrides Post-Quantum-Signaturverfahren ein.

OpenSSH ist die Referenzimplementierung des SSH-Protokolls. Sie gehört auf Linux- und BSD-Systemen sowie vielen weiteren Unix-ähnlichen Plattformen zur Standardausstattung.

Sicherheitskorrekturen für SSH, SCP und SFTP

Ein Schwerpunkt der neuen Version liegt auf der Behebung mehrerer sicherheitsrelevanter Fehler. So konnte ein bösartiger SFTP-Server Downloads unter bestimmten Umständen an einen anderen Speicherort als den vorgesehenen umleiten. Auch beim Kopieren von Dateien zwischen zwei entfernten Systemen mit scp verhindert OpenSSH 10.4 nun, dass ein manipulierter Server Dateien außerhalb des vorgesehenen Zielverzeichnisses ablegt. Zudem behebt OpenSSH 10.4 einen Fehler im internen SFTP-Server (internal-sftp, nicht der Standard): Bei langen Kommandozeilen wurden Argumente ab der zehnten Position still verworfen – sicherheitsrelevante Optionen an diesen Stellen wurden damit ignoriert.

Weitere Korrekturen betreffen den SSH-Server sshd. Die Entwickler schließen unter anderem eine potenzielle Denial-of-Service-Schwachstelle vor der Authentifizierung, sofern GSSAPI-Authentifizierung aktiviert ist (sie ist standardmäßig deaktiviert). Außerdem beseitigt die Version Fehler bei der Durchsetzung von Authentifizierungsverzögerungen und korrigiert eine Konstellation, in der DisableForwarding=yes Tunnelverbindungen entgegen der Dokumentation nicht zuverlässig unterband.

Auch der SSH-Client erhält Sicherheitskorrekturen. Unter anderem wurde ein möglicher Use-after-free-Fehler während eines Schlüsselaustauschs beseitigt, falls ein Server seinen Hostschlüssel während einer erneuten Schlüsselvereinbarung wechselt.

Strengeres Protokoll und mehr Robustheit

OpenSSH 10.4 verschärft außerdem das Verhalten während eines sogenannten Key-Reexchange. Dabei handeln Client und Server während einer bestehenden Verbindung neue Sitzungsschlüssel aus, etwa um kryptografisches Material regelmäßig zu erneuern. Sendet eine Gegenstelle während dieses Vorgangs unerlaubte Protokollnachrichten, trennt OpenSSH die Verbindung künftig sofort. Bislang wurden solche Nachrichten gepuffert, was zu sinnlos belegtem Speicher führen konnte.

Diese strengere Umsetzung orientiert sich an den Vorgaben des SSH-Protokolls. Allerdings weisen die Entwickler darauf hin, dass ältere oder nicht RFC-konforme Implementierungen dadurch unter Umständen die Verbindung verlieren.

Darüber hinaus ersetzt OpenSSH den bisherigen Wildcard-Matcher durch eine Implementierung auf Basis eines nicht deterministischen endlichen Automaten (NFA). Damit vermeiden die Entwickler exponentielle Laufzeiten bei bestimmten Suchmustern und verbessern die Robustheit gegenüber ungünstigen Eingaben.

Experimentelle hybride Post-Quantum-Signaturen

Als wichtigste funktionale Neuerung führt OpenSSH die experimentelle Unterstützung für ein kombiniertes Signaturverfahren aus ML-DSA-44 und Ed25519 ein. Der hybride Ansatz soll sowohl gegen klassische als auch gegen zukünftige Angriffe durch Quantencomputer absichern. Solche Kombinationen sind eine Übergangslösung, solange Post-Quantum-Verfahren noch schrittweise eingeführt und standardisiert werden.

Standardmäßig bleibt die Funktion deaktiviert. Administratoren müssen sie explizit über die Konfiguration aktivieren, etwa für HostKeyAlgorithms oder PubkeyAcceptedAlgorithms. Neue Schlüssel lassen sich mit ssh-keygen -t mldsa44-ed25519 erzeugen.

Weitere Änderungen

Die Entwickler weisen zudem auf einige potenziell inkompatible Änderungen hin. So gibt sshd -G Konfigurationsdirektiven künftig wieder mit gemischter Groß- und Kleinschreibung aus, etwa PubkeyAuthentication statt ausschließlich Kleinbuchstaben. Skripte, die die bisherige Ausgabe auswerten, müssen Nutzer gegebenenfalls anpassen.

Unter Linux behandelt OpenSSH Fehler beim Aktivieren der Sicherheitsmechanismen SECCOMP und NO_NEW_PRIVS nun als schwerwiegend. Der Server startet in diesem Fall nicht mehr, sondern bricht ab. Systeme ohne diese Funktionen sollen stattdessen bereits beim Kompilieren ohne Sandbox-Unterstützung gebaut werden.

Daneben enthält OpenSSH 10.4 zahlreiche Fehlerkorrekturen und interne Verbesserungen, unter anderem für FIDO-Token, ssh-agent, die Konfigurationsverarbeitung des SSH-Servers sowie verschiedene kryptografische Routinen. Laut Release Notes sollen diese Änderungen vor allem Stabilität und Wartbarkeit verbessern.

(fo)