OpenSSH Splits Opnieuw: Nieuwe Authenticatie-Binaire Geïntroduceerd

De splitsing van sshd vordert met sshd-auth, waarbij authenticatie in een aparte binary wordt geïsoleerd en het pre-auth-aanvalsoppervlak in OpenSSH wordt verkleind.

De voortdurende inspanning om de beveiliging van OpenSSH te verbeteren door functionaliteiten op te splitsen in aparte binaries gaat door, met de nieuwste ontwikkeling die een nieuwe binary introduceert, sshd-auth.

Deze wijziging maakt deel uit van de bredere strategie van OpenBSD om de OpenSSH-implementatie nog veiliger en efficiënter te maken.

Damien Miller, een OpenBSD-ontwikkelaar, heeft onlangs deze nieuwe update doorgevoerd, die tot doel heeft de sshd-functionaliteit verder te scheiden door een dedicated binary voor gebruikersauthenticatie te creëren.

Zoals vermeld in het commitbericht, is het doel eenvoudig: "Door deze code in een aparte uitvoerbare file te plaatsen, wordt ervoor gezorgd dat het kritieke aanvalsvlak tijdens de pre-authenticatiefase een volledig geïsoleerde adresruimte heeft ten opzichte van de code die voor de rest van de verbinding wordt gebruikt."

Met andere woorden, dit minimaliseert effectief het risico door de pre-authenticatiefase te isoleren en het totale aanvalsvlak te verkleinen.

Bovendien biedt deze benadering een extra voordeel: een kleine besparing in runtime-geheugen. Zodra de authenticatiefase is voltooid, wordt de authenticatiecode gedeactiveerd, waardoor geheugen vrijkomt voor andere taken.

Deze wijziging is al geïntegreerd in OpenBSD-snapshots en wordt sinds vorige week getest. Net als bij andere componenten zoals sshd, ssh-session en ssh-agent, zal het nieuwe sshd-auth-programma willekeurig worden hergekoppeld bij het opstarten, waardoor een extra beschermingslaag wordt toegevoegd.

Voor meer informatie, verwijst u naar de aankondiging in het OpenBSD Journal.

Hoe dit zich verhoudt tot andere OpenSSH-implementaties

Zoals je waarschijnlijk weet, is OpenSSH onderdeel van het OpenBSD-project en wordt het veel gebruikt op verschillende besturingssystemen, waaronder Linux. Veranderingen die worden aangebracht in de OpenBSD-versie van OpenSSH worden dan ook vaak teruggezien in andere implementaties, omdat de kerncode wordt gedeeld.

Dit betekent dat verbeteringen, zoals het scheiden van functionaliteiten in aparte binaries, uiteindelijk hun weg zullen vinden naar Linux en andere systemen die afhankelijk zijn van OpenSSH.