OpenSSH 10.1: 새로운 DSCP 처리, SHA1 SSHFP 사용 중단 발표

OpenSSH 10.1이 이제 사용 가능하며, DSCP 처리 변경, 보안 수정 사항, SHA1 SSHFP 사용 중단 계획이 포함되어 있습니다.

OpenBSD 산하에서 개발 및 유지 관리되는 OpenSSH 프로젝트는 암호화된 연결을 통해 원격 로그인 및 파일 전송에 널리 사용되는 보안 도구 모음인 OpenSSH 10.1의 출시를 발표했습니다. 이제 공식 미러 사이트에서 다운로드할 수 있습니다.

이번 릴리스의 주요 변경 사항 중 하나는 SHA1 알고리즘의 취약성으로 인해 곧 무시될 SHA1 SSHFP DNS 레코드의 사용 중단 예정입니다. 이제부터 ssh-keygen -r 명령은 SHA256 기반의 SSHFP 레코드만 생성합니다.

OpenSSH 10.1은 또한 양자 이후 키 합의가 아닌 경우 경고를 도입하여 '지금 저장하고 나중에 해독' 공격의 위험을 강조합니다. 이 동작은 기본적으로 활성화된 새로운 WarnWeakCrypto 옵션으로 관리됩니다.

이번 릴리스에는 소규모 보안 수정 사항도 포함되었습니다. 이는 신뢰할 수 없는 SSH 명령줄이나 URI를 통해 제공된 사용자 이름에 제어 문자가 포함되는 것을 방지하여, ProxyCommand가 사용자 이름 확장을 사용하도록 구성되었을 때 발생할 수 있는 잠재적 셸 인젝션 문제를 해결합니다.

이 버전은 주요 DSCP(IPQoS) 변경 사항을 포함하고 있습니다. 대화형 SSH 트래픽은 이제 지연 시간을 줄이기 위해 기본적으로 Expedited Forwarding 클래스가 적용되며, SFTP 전송과 같은 비대화형 트래픽은 시스템 기본값을 사용합니다. 또한, 기존 IPv4 ToS 키워드인 lowdelay, reliability, throughput은 이제 무시되고, 현대적인 DSCP 마킹으로 대체됩니다.

ssh-agent 쪽에서는 이제 소켓을 /tmp 대신 ~/.ssh/agent 아래에 저장하여 제한된 시스템에서 보안을 향상시킵니다. 또한 오래된 소켓을 자동으로 정리하고 만료된 인증서를 만료 직후에 제거할 수 있습니다.

다른 주목할 만한 변경 사항으로는 PKCS#11 토큰에서 ed25519 키 지원 추가, ssh_config의 새로운 RefuseConnection 옵션 추가, 구성 크기 제한을 256KB에서 4MB로 상향 조정한 것이 있습니다. 이번 릴리스에서는 X 클라이언트 지연 문제를 수정하고, 키 로딩에 대한 진단을 개선하며, 여러 메모리 누수 문제를 해결했습니다.

마지막으로, 휴대용 빌드에는 Linux, macOS, BSD에 대한 작은 호환성 수정과 새로운 GNOME 40+ askpass 유틸리티가 포함되어 있습니다. 또한 32비트 시스템에서 PAM 처리, seccomp 샌드박스, futex 시스템 호출 지원이 개선되었습니다.

자세한 내용은 변경 로그를 참조하세요.