OpenSSH è una suite di strumenti open source concepita per garantire la connessione remota sicura e il trasferimento di file attraverso l’uso di connessioni crittografate. Questo progetto, sviluppato nell’ambito di OpenBSD, è distribuito sotto licenza BSD, che offre agli utenti piena libertà di utilizzo, modifica e distribuzione, rendendolo una soluzione molto versatile per diverse applicazioni.
Riconosciuta per la sua affidabilità e sicurezza, OpenSSH viene adottata in modo estensivo da privati e aziende, principalmente per la gestione di server remoti e per proteggere le comunicazioni sensibili. La versione precedente, OpenSSH 9.9, è stata pubblicata nel settembre 2024 e ha rappresentato un importante passo avanti nel consolidamento delle funzionalità del software.
Con il rilascio di OpenSSH 10, avvenuto il 9 aprile 2025, OpenSSH introduce miglioramenti significativi nelle tecnologie crittografiche utilizzate, incrementando la sicurezza complessiva del sistema. Sono state inoltre aggiunte nuove funzionalità che espandono le possibilità di configurazione e gestione, garantendo un’esperienza utente più completa e performante.
Novità in OpenSSH 10
La versione 10 di OpenSSH porta con sé numerosi miglioramenti che rafforzano la sicurezza e ottimizzano l’esperienza degli utenti. Tra i cambiamenti principali vi è la rimozione definitiva dell’algoritmo DSA, un meccanismo di firma digitale ormai obsoleto e considerato vulnerabile. La gestione delle connessioni è stata ottimizzata con la migrazione live tramite scp e sftp, che semplifica e chiarisce il comportamento delle sessioni multiple. A livello architettonico, le modifiche strutturali in sshd, tra cui la separazione del codice di autenticazione in un binario dedicato, aumentano la sicurezza riducendo la superficie di attacco. Inoltre, la disabilitazione del Diffie-Hellman modp rafforza la crittografia adottando algoritmi basati su curve ellittiche come standard preferito. Un’innovazione cruciale è rappresentata dall’introduzione della crittografia post-quantistica attraverso l’algoritmo mlkem768x25519-sha256, che garantisce protezione contro le future minacce dei computer quantistici. Gli aggiornamenti ai cifrari preferiti, con la priorità ad AES-GCM e ChaCha20/Poly1305, garantiscono maggiore sicurezza e prestazioni. L’espansione delle configurazioni consente ora l’uso di variabili d’ambiente e regole avanzate per personalizzare le direttive di ssh_config, mentre i miglioramenti nella gestione delle chiavi FIDO offrono un controllo più dettagliato per amministratori e utenti avanzati. Infine, questa versione include correzioni di bug che contribuiscono a rendere OpenSSH ancora più affidabile e performante.
Rimozione dell’algoritmo DSA
Uno dei cambiamenti più importanti introdotti nella nuova versione è l’eliminazione definitiva del supporto per l’algoritmo di firma digitale DSA (Digital Signature Algorithm). Questo algoritmo, un tempo molto diffuso per la creazione di firme digitali, era stato disabilitato di default già nel 2015 a causa delle sue vulnerabilità intrinseche, che lo rendevano inadatto agli standard di sicurezza moderni.
Con questa eliminazione completa, gli amministratori di sistema che ancora utilizzano chiavi basate su DSA sono invitati a migrare verso algoritmi più sicuri e affidabili, come RSA o ECDSA, che offrono un livello di protezione significativamente superiore. Questo passo è essenziale per garantire la sicurezza delle connessioni e delle comunicazioni protette, allineandosi alle migliori pratiche attuali nel campo della crittografia.
Migrazione live con scp e sftp
Le utilità scp e sftp sono state aggiornate per trasmettere automaticamente l’opzione “ControlMaster no” a SSH, una scelta progettata per evitare la creazione implicita di sessioni multiple. Questo cambiamento migliora significativamente la chiarezza e il controllo nella gestione delle connessioni, assicurando comportamenti più prevedibili e coerenti durante il trasferimento di file o la connessione remota.
Gli utenti che si affidano al multiplexing automatico, ovvero alla capacità di SSH di condividere una singola connessione per più sessioni, dovrebbero esaminare attentamente le proprie configurazioni attuali per garantire che non si verifichino problemi di compatibilità o malfunzionamenti. Questa modifica riflette l’obiettivo di semplificare l’interazione con SSH, riducendo potenziali ambiguità e ottimizzando l’affidabilità del sistema.
Modifiche strutturali in sshd
Sul lato server, il codice responsabile dell’autenticazione degli utenti è stato trasferito dal binario sshd-session al nuovo binario dedicato sshd-auth. Questa modifica ha un impatto significativo sulla sicurezza globale del sistema, poiché consente di ridurre la superficie di attacco pre-autenticazione, isolando questa parte critica del processo dal resto del flusso SSH. Separare il codice di autenticazione dal binario principale rafforza la protezione contro eventuali exploit e vulnerabilità, garantendo una maggiore affidabilità e robustezza nella gestione delle connessioni remote.
Disabilitazione del Diffie-Hellman modp
L’algoritmo Diffie-Hellman basato su campi finiti (modp) è stato disabilitato di default in sshd per ragioni di sicurezza e prestazioni. Questo algoritmo, benché largamente utilizzato in passato per lo scambio di chiavi crittografiche, è stato sostituito dagli algoritmi basati su curve ellittiche (ECDH), che offrono prestazioni superiori pur mantenendo un livello di sicurezza comparabile.
Le tecniche matematiche integrate, come gli algoritmi basati su campi finiti e curve ellittiche, sono metodi utilizzati per garantire la sicurezza delle comunicazioni crittografiche. Gli algoritmi a campi finiti si basano su operazioni complesse all’interno di gruppi matematici definiti, mentre quelli su curve ellittiche sfruttano proprietà geometriche avanzate per generare chiavi crittografiche che sono sia sicure che efficienti.
Introduzione della crittografia post-quantistica
Una delle novità più importanti introdotte in OpenSSH 10 è l’implementazione dell’algoritmo mlkem768x25519-sha256 per lo scambio delle chiavi crittografiche. Questo algoritmo rappresenta una soluzione avanzata che offre una protezione efficace contro gli attacchi futuri dei computer quantistici, garantendo allo stesso tempo un’elevata velocità di esecuzione e una notevole robustezza.
L’algoritmo combina tecniche matematiche complesse per fornire una sicurezza superiore rispetto agli approcci tradizionali, mantenendo una prestazione affidabile anche in contesti altamente esigenti. Si propone come una valida alternativa agli algoritmi basati su curve ellittiche, offrendo una protezione che si adatta alle esigenze delle moderne infrastrutture IT e si prepara alle potenziali minacce future legate allo sviluppo della tecnologia quantistica.
Aggiornamenti ai cifrari preferiti
OpenSSH 10 introduce un aggiornamento nelle preferenze dei cifrari utilizzati per proteggere le connessioni crittografate. Il cifrario AES-GCM è ora preferito rispetto a AES-CTR, poiché garantisce un livello di sicurezza superiore grazie alla sua capacità di integrare autenticazione e crittografia in un unico algoritmo efficiente. Allo stesso tempo, il cifrario ChaCha20/Poly1305 rimane al vertice della lista delle preferenze, grazie alla sua combinazione di prestazioni elevate e affidabilità comprovata, rendendolo ideale per connessioni sicure anche in ambienti con risorse limitate o reti meno stabili.
Espansione delle configurazioni
Gli utenti hanno ora la possibilità di utilizzare token % e espansioni delle variabili d’ambiente in numerose direttive di configurazione contenute nel file ssh_config, inclusi SetEnv e User. Questa funzionalità permette una personalizzazione più avanzata e flessibile delle configurazioni, adattandole alle specifiche esigenze dell’ambiente operativo.
In aggiunta, sono state introdotte nuove regole Match, che consentono di applicare condizioni granulari basate su fattori come la versione locale di OpenSSH o il tipo di sessione, che può essere una shell, un comando eseguito (exec) o un sottosistema (subsystem). Queste innovazioni permettono agli utenti di gestire configurazioni complesse con maggiore precisione, migliorando l’efficienza e la versatilità nella gestione delle connessioni.
Miglioramenti nella gestione delle chiavi FIDO
La configurazione di ssh-agent è stata aggiornata per offrire un controllo più approfondito e sofisticato sul funzionamento dei token FIDO (Fast Identity Online). Questi token, utilizzati per l’autenticazione forte basata su standard moderni, sono ora gestiti in modo più preciso, permettendo agli amministratori e agli utenti avanzati di adattare il loro comportamento alle esigenze specifiche dei flussi di lavoro. Questo miglioramento non solo semplifica le operazioni di configurazione, ma rende anche più efficiente la gestione delle autenticazioni, assicurando una maggiore sicurezza e flessibilità nelle infrastrutture IT.
Correzioni di bug
OpenSSH 10 include numerose correzioni di errori, volte a migliorare sicurezza e prestazioni:
- Rafforzata la mitigazione ObscureKeystrokeTiming per il forwarding X11, garantendo maggiore sicurezza nel reindirizzamento dell’interfaccia grafica.
- Ottimizzata la gestione dei file di configurazione sshd di grandi dimensioni, migliorando efficienza e velocità di elaborazione in contesti complessi.
- Reso più robusto il comportamento del fallback nell’Exchange Group Diffie-Hellman, riducendo gli errori durante lo scambio di chiavi crittografiche.
- Risolti casi limite in sftp e ssh, aumentando l’affidabilità e la prevedibilità del comportamento delle utilità.
Per approfondire tutte le novità e le modifiche introdotte in OpenSSH 10, puoi consultare le note della versione, dove troverai una descrizione completa e dettagliata di ogni aggiornamento apportato.
Fonte: https://www.openssh.com/txt/release-10.0
Fonte: https://www.phoronix.com/news/OpenSSH-10.0-Released
Fonte: https://linuxiac.com/openssh-10-released-makes-bold-cryptographic-changes/
Source: Read More