OpenSSH 10.6 Yenilikleri: LZ77 Sıkıştırma Kapandı, ssh-mldsa44-ed25519 Geldi, scp -R Kullanımdan Kalkıyor

Güvenlik düzeltmeleri (Security fixes)

• LZ77 kapatıldı: ssh ve sshd'de sıkıştırmadaki LZ77 sözlük kodlayıcısı devre dışı. Seçilmiş açık metin (chosen-plaintext) yan kanal saldırısıyla, aynı bağlantıdaki başka bir kanalın şifrelenmiş içeriğinin tahmin edilmesi önleniyor.
• sftp yol doğrulaması: Kötü niyetli bir sunucunun özyinelemeli (recursive) indirmede dosyaları hedef dizinin dışına yazdırması engellendi.
• Kullanıcı adı kısıtı: Komut satırında verilen kullanıcı adında $ veya \ varsa ssh bağlantıyı reddediyor. Amaç, ProxyCommand veya Match exec üzerinden kabuk enjeksiyonunu önlemek. Yapılandırma dosyasındaki kullanıcı adları bu kısıttan muaf.
• GSSAPI: Kimlik bilgileri yalnızca başarılı doğrulamadan sonra saklanıyor, her denemeden önce durum sıfırlanıyor.
• authorized_keys: restrict anahtar sözcüğü artık tünel yönlendirmeyi de tam olarak kapsıyor.
• ssh-keygen: Yaz saati geçişinde tarih dönüştürme hatası düzeltildi; sertifika bitiş saatleri bir saat veya daha fazla kayabiliyordu.
• Sıkıştırılmış paketler: Açılan veri en fazla paket boyutuyla sınırlandı.

Uyumluluğu bozabilecek değişiklikler (Potentially incompatible)

Sürüm notları üç değişikliği açıkça "uyumluluğu bozabilir" olarak işaretliyor:

1. Sıkıştırma daha az etkili: Compression yes hâlâ çalışıyor ama LZ77 olmadan kazanç düşük. Yavaş hatlarda sıkıştırmaya güvenen yedekleme betikleri varsa, sıkıştırmayı uygulama düzeyine (ör. tar | zstd veya rsync -z) taşımak öneriliyor.
2. $ veya \ içeren kullanıcı adları: Windows etki alanı hesapları (DOMAIN\kullanici) ile bağlanan betikler bu sürümle hata verir. Kullanıcı adını ~/.ssh/config içinde User satırıyla vermek çözüm.
3. GatewayPorts ve StreamLocalForwarding: PTY ayırmak için root gerektiren bazı platformlarda bu iki özellik zorla kapatıldı. Yaygın Linux dağıtımları bu gruba girmiyor.

Ayrıca scp -R (iki uzak sunucu arasında kopyalama) güvenlik nedeniyle kullanımdan kaldırıldı. Şimdilik çalışıyor ama uyarı basıyor ve ileriki bir sürümde yok sayılacak. Sunucudan sunucuya kopyalama için scp -3 (veri yerel makineden geçer) veya kaynak sunucuda rsync kullanmak daha güvenli.

Yeni özellikler (New features)

• sftp'de mkdir -p ve lmkdir -p: üst dizinleri gerektiğinde oluşturur.
• ChannelTimeout artık ondalıklı saniye kabul ediyor.
• sshd'de AgentSocketPath: yönlendirilen ajan soketlerinin hangi dizinde oluşturulacağını belirler. ssh-agent'a da -A seçeneği geldi.
• PubkeyAuthOptions max-pk-ok:nnn: anahtar yoklama denemelerinin MaxAuthTries sınırına sayılmamasını sağlar. Çok anahtarlı ajanlarda "Too many authentication failures" hatasını azaltır.
• TCPKeepAlive all: canlı tutma paketleri yönlendirme soketlerine de uygulanır.
• ssh-keygen'de özel anahtar KDF tur sayısı varsayılanı 24'ten 32'ye çıktı, okuma/yazmada üst sınır 1 milyon tur.
• ~I kaçış komutu yerel ve uzak sürüm bilgisini gösteriyor.

ssh-mldsa44-ed25519 ve WarnWeakCrypto (Post-quantum)

OpenSSH 10.0 ile anahtar değişiminde kuantum sonrası hibrit algoritma (ML-KEM) varsayılan olmuştu; bunu OpenSSH 10.0 yazımızda anlatmıştık. 10.6 ile imza tarafına da hibrit algoritma geldi: ssh-mldsa44-ed25519, ML-DSA-44 ile Ed25519'u birleştiriyor. Önceki deneysel @openssh.com sürümüyle üretilmiş anahtarlar uyumlu değil; yeniden üretilmeleri veya kaldırılmaları gerekiyor.

# Kurulu OpenSSH'nin desteklediği anahtar türlerini görme
ssh -Q key | grep -i mldsa

# Desteklenen imza algoritmaları
ssh -Q sig | grep -i mldsa

Anahtar üretirken ssh-keygen -t seçeneğine bu listede görünen türü verin. Hibrit anahtar kullanabilmek için hem istemci hem sunucu tarafında 10.6 veya üstü gerekiyor.

WarnWeakCrypto sshd_config'te varsayılan olarak açık geliyor ve kuantum sonrası olmayan anahtar değişimiyle bağlanan istemcileri günlüğe yazıyor. Eski SSH istemcisi kullanan ekipleri tespit etmek için kullanışlı: günlüklerde bu uyarıyı görüyorsanız o istemcileri güncellemek gerekiyor.

Sunucuda geçiş kontrol listesi (Upgrade checklist)

1. Sürüm kontrolü: ssh -V ve sshd -V. Dağıtım paketleri yeni sürümü birkaç hafta içinde alır; Ubuntu 26.10 ve rolling dağıtımlar daha hızlı.
2. Yedekleme ve senkron betiklerinde Compression yes veya ssh -C var mı, bakın. Varsa sıkıştırmayı uygulama düzeyine taşıyın.
3. scp -R geçen cron satırlarını bulun: grep -rn "scp -R" /etc/cron* /var/spool/cron.
4. Ters eğik çizgi içeren kullanıcı adlarıyla bağlanan otomasyonları ~/.ssh/config'e taşıyın.
5. sshd yapılandırmasını yeniden başlatmadan önce doğrulayın: sshd -t. Uzak sunucuda yeni bir oturum açık kalmadan mevcut oturumu kapatmayın.

OpenSSH ekibi duyuruda, yapay zekâ destekli çok sayıda güvenlik raporu aldıklarını ve düzeltmeleri biriktirmek yerine daha sık sürüm çıkaracaklarını belirtti. Yani SSH güncellemeleri önümüzdeki dönemde daha sık gelecek. Alesta WEB olarak sunucu bakımlarında SSH sürüm geçişini her zaman ikinci bir oturum açıkken ve yapılandırmayı sshd -t ile doğruladıktan sonra yapıyoruz.

Sık sorulan sorular

OpenSSH 10.6'yı hemen kurmalı mıyım?

Kritik bir uzaktan açık kapatılmadı, ama sftp ve sıkıştırma düzeltmeleri önemli. Dağıtımınızın güvenlik güncellemesi geldiğinde kurmanız yeterli.

Sıkıştırmayı tamamen kapatmalı mıyım?

Gerek yok, ama kazancı artık düşük. Hızlı hatlarda sıkıştırmanın faydası zaten azdı.

DOMAIN\kullanici ile bağlanamıyorum, ne yapmalıyım?

Kullanıcı adını ~/.ssh/config içinde User satırına yazın; yapılandırma dosyasındaki adlar kısıttan muaf.

scp -R yerine ne kullanmalıyım?

scp -3 veya kaynak sunucuda doğrudan rsync/scp.

İlgili yazılar: OpenSSH 10.0 kuantum sonrası şifreleme · Let's Encrypt 64 günlük sertifika · Web hosting · İletişim

Kapak fotoğrafı: Cong Long Vu / Unsplash