☰

安定性とセキュリティ（sftpセキュリティ）の観点からLinuxに最適なopensshバージョンは何ですか？ [閉鎖]

tag-icon • tag-icon linux rhel security openssh sftp
安定性とセキュリティ（sftpセキュリティ）の観点からLinuxに最適なopensshバージョンは何ですか？ [閉鎖]

私は政府機関で働いています。私たちは、インターネットを介してファイルを受信して​​送信するために、DMZシステムでSFTPクライアントとSFTPサーバーを実行しています。

私たちの周りの環境：

OpenSSH_7.4p1、OpenSSL 1.0.2k-fips 2017年1月26日

Linux バージョン 3.10.0-1160.102.1.el7.x86_64([Eメール保護]）（gccバージョン4.8.5 20150623（Red Hat 4.8.5-44）（GCC））＃1 SMP Mon Sep 25 2023 05:00:52 EDT

Red_Hat_Enterprise_Linux-Release_Notes-7-en-US-7-2.el7.noarch

レッドハット - リリース - サーバー - 7.9-8.el7_9.x86_64

インテル(R) Xeon(R)

問題は、パートナーの一人がopensshバージョンをアップグレードしたいのですが、どのバージョンが最も信頼性が高く安全なのかわからないことです。 OpenSSHのウェブサイトとは別の場所を見ましたが、良い答えが見つかりませんでした。

私たちの質問：安定性とセキュリティ（sftpセキュリティ）の観点から、Linuxでどのバージョンのopensshをお勧めしますか？

挨拶

アンダース

答え1

すでにRELを使用しているので、バージョン8または9にアップグレードする必要がありますが、引き続き使用することをお勧めします。 @tinkが指摘したように、RELは州/マイナーバージョン番号を変更せずにセキュリティパッチをパッケージにバックポートするので、かなり安全です。

可能であれば、FIPS 140-2を有効にしてNIST承認パスワードとMACリストを適用できます。失敗した場合は、より安全であることが知られている制限されたパスワードセットを使用するようにsshdを設定できます。

最後の質問。パートナーがopensshバージョンを切り替えたい場合は、実行しているサーバーにどのような影響がありますか？

答え2

通常、最新の状態を維持し、すべてのセキュリティパッチを適用します。したがって、最新のものが最善です（通常）。 7.6 より前のバージョンの OpenSSH は 2017 年から脆弱であるため、セキュリティが心配な場合は、長く前にアップグレードする必要があります。

安定性について：RedHatを使用している場合RedHatリポジトリでsshを使用すると、安定したバージョンが提供されます。

いつでもリリースノートを読み、セキュリティ推奨事項を検索できます。引用するには：

  • OpenSSH 9.6より前のバージョンのssh（1）、sshd（8）。初期鍵交換（「テラピン攻撃」）の弱点
  • OpenSSH 8.9と9.5（含む）の間のssh-agent（1）には、スマートカードキーのターゲット制約が不完全に適用されています。
  • OpenSSHのssh-agent（1）と5.5から9.3p1（含む）のPKCS＃11プロバイダに関連するリモートコードを実行する
  • OpenSSH 6.5と9.1（含む）の間のssh（1）。 ssh(1) は libc から返された DNS 名を検証できません。
  • OpenSSHのsshdは6.2から8.7です。 AuthorizedKeysCommandまたはAuthorizedPrincipalsCommandを実行すると、sshd（8）が補足グループを正しく初期化できない

9.6未満のバージョンはセキュリティの問題だと言いたいです。

本当です。このように古いバージョンを維持することは、最新バージョンに完全にアップグレードするよりも、信頼性とセキュリティの面で大きな問題です。

答え3

これはRedhatのサービスレベルによって異なります。 7は2ヶ月後にサポートされなくなりました2。

https://access.redhat.com/product-life-cycles?product=Red%20Hat%20Enterprise%20Linux,OpenShift%20Container%20Platform%204

Redhatは通常、基本パッケージのメジャーバージョン番号を変更せずにセキュリティパッチを適用/バックポートします。これはカーネルとアプリケーションの両方に当てはまります。現在RedhatまたはCentosシステムにアクセスできないため、OpenSSH_7.4p1最後の更新時刻を確認できません（同様のことを試してくださいrpm -qa --last|grep ssh。私はRHELを使用していません）。

関連情報