OpenSSH 10.6 habilita algoritmo de assinatura pós-quântica; chaves experimentais precisam ser substituídas

A equipe do OpenSSH lançou a versão 10.6 em 6 de outubro e afirmou que lançará versões com mais frequência por enquanto para colocar correções de bugs nas mãos dos usuários mais rapidamente. Os mantenedores receberam um grande número de relatórios de segurança, muitos encontrados por modelos de IA ou com a ajuda de IA, e em vários casos um pesquisador diferente encontrou independentemente o mesmo bug posteriormente.

Adversários que não relatam bugs para projetos de código aberto, os mantenedores escreveram, “provavelmente também serão capazes de descobrir esses bugs”. Se você executa o sshd ou o cliente ssh, espere atualizações em um ciclo mais curto.

A compressão fica mais fraca

Ambos os programas agora desativam o codificador de dicionário LZ77, portanto, a opção Compression é menos eficaz. Fabian Bäumer e Marcus Brinkmann descreveram um ataque no qual alguém que controla a entrada em um canal pode recuperar segredos de outro. Cada canal em uma sessão compartilha um dicionário de compressão, e strings repetidas alteram o comprimento do texto cifrado. Os mantenedores recomendam a compressão em nível de aplicativo, que eles dizem ser tipicamente mais eficaz e imune a este ataque.

Nomes de usuário com $ ou \ são recusados