Вышел OpenSSH 10.6: что изменилось в новой версии и почему это важно

Свежая версия OpenSSH 10.6 уже здесь, и это не просто очередной «косметический» апдейт. Разработчики добавили защиту от новых угроз, усилили криптографию и начали активнее реагировать на находки ИИ по поиску уязвимостей. Если вы работаете с сервером по SSH или используете SFTP — самое время внимательно изучить детали и вписать их в свои чек-листы безопасности.

На что обратить внимание в OpenSSH 10.6

• Гибридный постквантовый алгоритм ssh-mldsa44-ed25519 теперь в комплекте — стойко к атакам даже с суперкомпьютеров нового поколения. Мне особенно импонирует, что проект зашёл так далеко в область «защиты от завтрашнего дня» — для бизнеса это серьёзный задел.
• Новая политика WarnWeakCrypto по умолчанию. OpenSSH теперь сообщает, если ключевой обмен идёт по алгоритму, который под угрозой взлома со стороны квантовых технологий. Я всегда советую держать ушки востро на слабых конфигурациях — теперь это станет проще.
• Удаление режима scp -R и прекращение его поддержки. Теперь при попытке копирования между двумя удалёнными системами вы получите предупреждение об устаревании. Меня лично всегда раздражало, что этот режим таил нюансы безопасности — хорошо, что его выводят из обращения.
• Экспериментальные постквантовые ключи несовместимы с 10.6. Старые ключи придётся пересоздать — алгоритм теперь стандартный, без суффикса @openssh.com. На первый взгляд вроде бы хлопотно, но я бы всё равно рекомендовал периодически обновлять ключи: свежая генерация — свежий сон.
• Усиление защиты закрытых ключей. По умолчанию теперь используется 32 раунда формирования ключа KDF (раньше было 24), и введён лимит в миллион раундов — никто не сможет заставить вашу машину зациклиться на поддельном файле. Честно говоря, восхищён тем, как детали безопасности прорабатываются в мелочах — это подойдёт даже самым параноидальным администраторам.
• Отключено сжатие LZ77 в ssh и sshd. Да-да, тот самый LZ77, позволяющий атаки через сторонние каналы, теперь больше не повод для головной боли. Как человек, не понаслышке знакомый с атаками на компрессию, я рад этому решению: меньше багов, меньше рисков.

Кому пригодится OpenSSH 10.6 и стоит ли обновляться?

Коротко: обновляться стоит всем, кто не хочет проснуться злым утром с новостью о свежем взломе. Для компаний, где безопасность — не пустой звук, и для интеграторов, автоматизирующих парки серверов, релиз критически важен — патчи закрывают свежие уязвимости, а новые механизмы помогут пересечь доступ будущих quantum-воров сразу на входе.

От себя добавлю: появление предупреждений о слабой криптографии — реальный подарок для системных администраторов; допускаю, что многие «зашитые по-старому» конфиги теперь станут на порядок безопаснее. Самое ценное, что команда OpenSSH стала оперативнее выпускать апдейты — приятно видеть такой уход от идеи «ничего не сломалось — не трогай». Как бы ни было лениво тестировать несовместимости, цена простоя сервера нынче слишком высока, чтобы ждать очередного планового обновления.

И да — если вы до сих пор цепляетесь за старую передачу через scp -R или живёте на экзотических платформах вроде QNX 6, время пересмотреть свои стратегии. Даже если кажется, что ваш сетевой периметр неприступен: в мире, где ИИ находит баги быстрее, чем вы пьёте кофе, только свежий OpenSSH — хороший OpenSSH.

Нужна помощь с IT-поддержкой? Оставьте заявку, и наши специалисты свяжутся с вами в течение 15 минут — разберем вашу задачу и предложим решение.

Получить консультацию бесплатно