OpenSSH снова разделяется: представлен новый бинарный файл аутентификации

Разделение sshd продвигается с sshd-auth, изолируя аутентификацию в отдельном бинарном файле и уменьшая поверхность атаки перед аутентификацией в OpenSSH.

Продолжаются усилия по повышению безопасности OpenSSH путем разделения функций на отдельные бинарные файлы, при этом последнее обновление представило новый бинарный файл, sshd-auth.

Это изменение является частью более широкой стратегии OpenBSD по повышению безопасности и эффективности реализации OpenSSH.

Дэмиен Миллер, разработчик OpenBSD, недавно добавил это новое обновление, которое направлено на дальнейшее разделение функционала sshd путем создания отдельного исполняемого файла для аутентификации пользователей.

Как указано в сообщении коммита, цель проста: «Разделение этого кода на отдельный бинарный файл гарантирует, что критически важная область атаки до аутентификации имеет полностью отдельное адресное пространство от кода, используемого для остальной части соединения.»

Иными словами, это эффективно снижает риск, изолируя этап предварительной аутентификации и уменьшая общую поверхность атаки.

Кроме того, этот подход предлагает дополнительное преимущество: небольшую экономию оперативной памяти во время выполнения. После завершения фазы аутентификации код аутентификации будет выгружен, освобождая память для других задач.

Это изменение уже было интегрировано в снимки OpenBSD и тестировалось с прошлой недели. Как и с другими компонентами, такими как sshd, ssh-session и ssh-agent, новый бинарный файл sshd-auth будет случайным образом перекомпоновываться при загрузке, обеспечивая дополнительный уровень защиты.

Для получения дополнительной информации обратитесь к объявлению в журнале OpenBSD.

Как это относится к другим реализациям OpenSSH

Как вы, наверное, знаете, OpenSSH является частью проекта OpenBSD и широко используется в различных операционных системах, включая Linux. Поэтому изменения, внесённые в версию OpenSSH для OpenBSD, часто отражаются и в других реализациях, так как основной код общий.

Это означает, что улучшения, такие как разделение функциональности на отдельные бинарные файлы, в конечном итоге появятся в Linux и других системах, которые используют OpenSSH.