OpenSSH 다시 분리: 새 인증 바이너리 공개

sshd 분리가 sshd-auth와 함께 진행되어 인증을 별도의 바이너리로 분리하고 OpenSSH에서 사전 인증 공격 표면을 줄입니다.

OpenSSH 보안을 강화하기 위해 기능을 별도의 바이너리로 분리하는 지속적인 노력이 계속되고 있으며, 최신 개발에서는 새로운 바이너리 sshd-auth가 도입되었습니다.

이 변경은 OpenSSH 구현을 더욱 안전하고 효율적으로 만들기 위한 OpenBSD의 광범위한 전략의 일부입니다.

OpenBSD 개발자인 Damien Miller는 최근 sshd 기능을 더욱 분리하기 위해 사용자 인증 전용 바이너리를 생성하는 것을 목표로 하는 이 새로운 업데이트를 커밋했습니다.

커밋 메시지에서 언급했듯이, 목표는 간단합니다: "이 코드를 별도 실행 파일로 분리하면, 인증 전 단계에서 중요한 공격 표면이 나머지 연결에 사용되는 코드와 완전히 격리된 주소 공간을 가지게 됩니다."

다시 말해, 이는 사전 인증 단계를 격리하고 전체 공격 표면을 줄임으로써 위험을 효과적으로 최소화합니다.

게다가, 이 접근 방식은 추가적인 이점을 제공합니다: 작은 런타임 메모리 절약입니다. 인증 단계가 완료되면 인증 코드가 언로드되어 다른 작업을 위해 메모리를 확보하게 됩니다.

이 변경 사항은 이미 OpenBSD 스냅샷에 통합되었으며 지난주부터 테스트되었습니다. sshd, ssh-session, ssh-agent와 같은 다른 구성 요소와 마찬가지로, 새로운 sshd-auth 바이너리는 부팅 시 무작위로 다시 연결되어 또 다른 보호 계층을 추가합니다.

자세한 정보는 OpenBSD 저널의 공지를 참조하십시오.

이것이 다른 OpenSSH 구현과 어떻게 관련되는지

아시다시피, OpenSSH는 OpenBSD 프로젝트의 일부이며 리눅스를 포함한 다양한 운영 체제에서 널리 사용됩니다. 따라서 OpenBSD 버전의 OpenSSH에서 이루어진 변경 사항은 핵심 코드가 공유되기 때문에 다른 구현에도 자주 반영됩니다.

이는 기능을 별도의 바이너리로 분리하는 것과 같은 개선 사항이 결국 Linux와 OpenSSH에 의존하는 다른 시스템에도 적용될 것임을 의미합니다.