OpenSSH 3.6リリース

motchie 曰く、 "openssh-unix-announceによると、OpenSSH3.6がリリースされました。 主な変更点としては、これまでssh-keysign(1)でだけ使われていたRSA bindingが、ssh(1)、sshd(8)、ssh-agent(1)でも使われるようになったこと、 特権分離機能が有効な場合に、sshd(8)がPermitRootLoginを正しく処理するようになったこと、セッションが切断されるときにsshd(8)がX11 cookiesを 削除するようになったこと、scp(1)が-1と-2の引数をサポートするように なったことなどがあります。"

RSA blinding

[k3c (4386)]

> これまでssh-keysign(1)でだけ使われていたRSA bindingが

bindingじゃなくてRSA blinding [cert.org]ですね。修正希望。

…というか、OpenSSHはまだ対応していなかった [cert.org]んですね。変更箇所が多くてすぐには対応できなかったんでしょうか。"No statement is currently available"だと、そもそもvulnerableだったかどうかすら分からないですね…あ、アナウンスメールに

Please note that there is no evidence that the SSH protocol is vulnerable to the OpenSSL/TLS timing attack described in ...

と書かれてますね。証拠はないけど危ないと言うから対応したということですか。ふむ。

Re:RSA blinding

[motchie (4317)]

タレコミ人です。

> bindingじゃなくてRSA blinding [cert.org]ですね。修正希望。

とんでもないtypoでした。申し訳ございません。m(_ _)m

scp

[okdt (17)]

私的には、scpが-1と-2をサポートするようになった、というのが
一番ありがたいかな。SSH1ベースのホスト、昨年のセキュリティ
ホールで増えましたしね。-1とかってオプション、ないとわかっ
ていても、ついつい書いてしまいますもの。

おぉ

[daemontools (1932)]

OpenSSH3.6.1 [theaimsgroup.com]がでてますね。

--
-- daemontools.