OpenSSH 8.5 已经发布， OpenSSH 是 100％ 完整的 SSH 协议 2.0 版本的实现，并且包括 sftp 客户端和服务器支持，它用于远程登录的主要连接工具。OpenSSH 对所有流量进行加密，避免窃听、连接劫持等攻击。此外，OpenSSH 还提供了一整套安全隧道功能、多种身份验证方法和复杂的配置选项。

主要更新内容

• 安全性
  • ssh-agent(1): 修正了一个重复释放内存的问题，该问题在 OpenSSH 8.2 中引入
  • 可移植的 sshd(8)：防止过长的用户名进入 PAM。 这是为了缓解 Solaris 的 PAM 用户名处理中的缓冲区溢出问题 (CVE-2020-14871)，并且只对 Sun 派生的 PAM 实现启用。 这不是 sshd 本身的问题，它只是防止 sshd 被用作攻击 Solaris 的 PAM 的载体。它并不能阻止 PAM 中的错误被其他 PAM 应用程序所利用
• 兼容性相关
  • ssh(1)、sshd(8)：这个版本将第一优先签名算法从 ECDSA 改为 ED25519
  • ssh(1)、sshd(8)：在 TCP 连接之前，设置配置中指定的 TOSDSCP ，供交互使用。SSH 会话的连接阶段对时间敏感，通常是显式交互的。最终的交互式bulk TOSDSCP 将在认证完成后设置
  • ssh(1)、sshd(8)：更新/替换基于流线型 NTRU Prime 和 X25519 的实验性后量子混合密钥交换方法
  • ssh(1)：默认禁用 CheckHostIP。它提供了微不足道的好处，同时也使密钥轮换变得更加困难，尤其是对于基于 IP 的负载均衡器后面的主机
• 新特性
  • ssh(1)：在某些保守的前提下，此版本默认情况下启用UpdateHostkeys
  • ssh(1)、sshd(8)：增加了一个新的 LogVerbose 配置指令， 允许通过 filefunctionline 模式列表强制进行最大限度的调试记录
  • ssh(1)：当提示用户接受新的主机密钥时，显示已经与密钥关联的其他主机名称地址
  • ssh(1)：允许 UserKnownHostsFile=none 表示不应该使用 known_hosts 文件来识别主机密钥
  • ssh(1)：增加一个 ssh_config KnownHostsCommand 选项，除了通常的文件外，允许客户端从命令中获取 known_hosts 数据
  • ssh(1)：增加一个 ssh_config PermitRemoteOpen 选项，当 RemoteForward 与 SOCKS 一起使用时，允许客户端限制目的地

详细内容请查看更新公告。