OpenSSH 8.6 llega a solucionar una vulnerabilidad y con algunos cambios importantes

Se dio a conocer el lanzamiento de la nueva versión de OpenSSH 8.6, una implementación abierta de un cliente y un servidor para trabajar con los protocolos SSH 2.0 y SFTP.

Para quienes desconocen de OpenSSH (Open Secure Shell) deben saber que este es un conjunto de aplicaciones que permiten realizar comunicaciones cifradas a través de una red, usando el protocolo SSH. Fue creado como una alternativa libre y abierta al programa Secure Shell, que es software propietario.

La suite OpenSSH incluye las siguientes utilidades de línea de comandos y demonios :

  • scp: el cual es un reemplazo de rcp.
  • sftp: un reemplazo de ftp para copiar archivos entre computadoras.
  • ssh: un reemplazo de rlogin , rsh y telnet para permitir el acceso de shell a una máquina remota.
  • ssh-add y ssh-agent: un conjunto de utilidades para facilitar la autenticación al mantener las claves listas y evitar la necesidad de ingresar frases de contraseña cada vez que se utilizan.
  • ssh-keygen: una herramienta para inspeccionar y generar las claves RSA , DSA y de curva elíptica que se utilizan para la autenticación de usuarios y hosts.
  • ssh-keyscan: que escanea una lista de hosts y recopila sus claves públicas.
  • sshd: el demonio del servidor SSH.

Principales novedades de OpenSSH 8.6

La nueva versión corrige una vulnerabilidad en la implementación de la directiva LogVerbose, que apareció en la última versión y le permite elevar el nivel de información de depuración vertida en el registro, incluida la capacidad de filtrar por plantillas, funciones y archivos asociados con el código ejecutado. con privilegios eliminados en el proceso sshd aislado en un entorno de espacio aislado.

Un atacante que obtenga el control de un proceso sin privilegios con alguna vulnerabilidad desconocida puede aprovechar el problema de LogVerbose para evitar el aislamiento de la zona de pruebas y atacar un proceso elevado.

La vulnerabilidad en LogVerbose se considera poco probable en la práctica, ya que la configuración de LogVerbose está deshabilitada de forma predeterminada y, por lo general, solo se usa durante la depuración. El ataque también requiere encontrar una nueva vulnerabilidad en un proceso sin privilegios.

Por otra parte, de los cambios que se realizaron en OpenSSH 8.6 no relacionados con la vulnerabilidad. Podremos encontrar que se implementó una nueva extensión de protocolo «limits@openssh.com» en sftp y sftp-server, que permite al cliente SFTP obtener información sobre las restricciones del servidor, incluido el tamaño máximo de paquete y los límites de escritura/lectura.

En sftp, se utiliza una nueva extensión para seleccionar el tamaño de bloque óptimo para la transferencia de datos, además de que se agregó la configuración de ModuliFile a sshd_config para sshd, lo que le permite especificar la ruta al archivo «moduli» que contiene grupos para DH-GEX.

La variable de entorno TEST_SSH_ELAPSED_TIMES se ha agregado a las pruebas unitarias para permitir la visualización del tiempo transcurrido desde el inicio de cada prueba.

La solicitud de contraseña de GNOME se ha dividido en dos opciones, una para GNOME2 y otra para GNOME3 (contrib/gnome-ssk-askpass3.c). La variante GNOME3 usa gdk_seat_grab () para controlar la captura del teclado y el mouse para mejorar la compatibilidad con Wayland.

Y también se agregó soft-disallow a la llamada del sistema fstatat64 al sandbox de Linux basado en seccomp-bpf.

Finalmente si estás interesado en conocer más al respecto sobre esta nueva versión, puedes consultar los detalles dirigiéndote al siguiente enlace.

¿Como instalar OpenSSH 8.6 en Linux?

Para quienes estén interesados en poder instalar esta nueva versión de OpenSSH en sus sistemas, de momento podrán hacerlo descargando el código fuente de este y realizando la compilación en sus equipos.

Esto es debido a que la nueva versión aún no se ha incluido dentro de los repositorios de las principales distribuciones de Linux. Para obtener el código fuente, puedes hacer desde el siguiente enlace.

Hecha la descarga, ahora vamos a descomprimir el paquete con el siguiente comando:

tar -xvf openssh-8.6.tar.gz

Entramos al directorio creado:

cd openssh-8.6

Y podremos realizar la compilación con los siguientes comandos:

./configure --prefix=/opt --sysconfdir=/etc/ssh
make
make install

from Linux Adictos https://ift.tt/3ueS8h3
via IFTTT

Trump recuperaría su Facebook por decisión de un comité externo

Trump recuperaría su Facebook
A principios de año, en Linux Adictos hablamos bastante sobre el baneo de las redes sociales a Donald Trump. Ahora podría volver a una de ellas.

La Junta de Supervisión de Facebook es un grupo externo de toma de decisiones políticas con la potestad de restaurar los privilegios de Trump en Facebook o eliminar su cuenta definitivamente el miércoles.Se trata del primer gran experimento de la externalización de la moderación de contenido duro en un grupo de élite de pensadores globales, académicos y figuras políticas.

Sin embargo, yo que Trump no tendría muchas esperanzas.

El vicepresidente de Asuntos Globales de Facebook, Nick Clegg, un ex político británico (cuyo mayor éxito fue regalar el mejor caudal electoral en años del Partido liberal al Partido Conservador) expresó su esperanza de que la junta respaldara las propias conclusiones de la compañía, al calificar la suspensión de Trump como un «conjunto sin precedentes de eventos que exigían una acción sin precedentes».

Trump recuperaría su Facebook o no por decisión de un comité externo

La Junta de Supervisión de Facebook comenzó su trabajo en octubre pasado. Facebook puede remitir los casos a la junta, como lo hizo con Trump, pero los usuarios también pueden apelar a la junta para revocar las decisiones políticas que les afectan después de agotar el proceso normal de apelaciones de Facebook o Instagram. Un subconjunto de cinco miembros de sus 20 totales evalúa si se debe permitir que el contenido permanezca en la plataforma y luego llegue a una decisión, que la junta plena debe aprobar por mayoría de votos. Inicialmente, la Junta de Supervisión sólo estaba facultada para restablecer el contenido eliminado en Facebook e Instagram, pero a mediados de abril comenzó también a aceptar casos sobre contenidos que Facebook no quiso eliminar.

El ex presidente tiene una a favor, una de sus miembros, Pamela Karlan,una profesora de Stanford y académica de derechos de voto crítica con Trump, se fue para unirse a la administración Biden. Su reemplazante es la presidente de PEN America Susan Nossel. Nossel escribió un artículo de opinión en el Los Angeles Times en el que sostuvo que extender una prohibición permanente a Trump «puede parecer correcto al principio, pero esa decisión finalmente sentaría un peligroso precedente.

Nossel no participará en la votación de mañana, pero que la hayan nombrado podría indicar una tendencia.

La tendencia

Las primeras decisiones de la Junta de Supervisión fueron en favor de restaurar el contenido que había sido eliminado.  En un caso, la Junta de Supervisión votó a favor de restaurar una imagen de los pezones de una mujer utilizados en el contexto de un puesto de cáncer de mama. En otro, la junta decidió que una cita de un famoso nazi no merecía ser retirada porque no era un respaldo a la ideología nazi. En todos los casos, la Junta de Supervisión puede emitir recomendaciones de políticas, pero Facebook no está obligada a implementarlas.

Expansión

Aunque este es el primer caso realmente  relevante que enfrenta la Junta de Supervisión, sus integrantes se tienen confianza. la copresidenta de la Junta de Supervisión y ex Primera Ministra de Dinamarca Helle Thorning-Schmidt declaró que otras compañías de redes sociales serían «bienvenidas a unirse» al proyecto,

Por primera vez en la historia, en realidad tenemos moderación de contenido que se hace fuera de una de las grandes plataformas de redes sociales. Eso en sí mismo… No dudo en llamarlo histórico.

Resulte como resulte la votación de mañana, Facebook puede tener el primer éxito de relaciones públicas en mucho tiempo. No solo, a diferencia de las otras compañías de redes sociales, no se quedó con la última palabra, además, tiene a quién echarle la culpa cuando cualquiera de los dos bandos se queje por la decisión.

Hasta yo tengo que decir que la idea es genial. Y, por supuesto bastante más racional que la del control orwelliano que promovía la presidenta de la Fundación Mozilla.

from Linux Adictos https://ift.tt/3eOO0Oi
via IFTTT

openSUSE Leap 15.3: se ha lanzado el RC para probarlo desde ya

opensuse

El próximo sistema operativo de esta comunidad de desarrollo será openSUSE Leap 15.3, como ya sabrás si eres fan de esta sólida distribución Linux. Pues bien, si quieres un adelanto de lo que serán todas las novedades y quieres probarlo en tu equipo (aunque no es recomendable para producción dado que no es la versión final), o en una máquina virtual, tienes ya disponible el RC (Release Candidate).

Esta nueva versión está ya disponible para los desarrolladores y probadores que quieran comenzar a usar openSUSE Leap 15.3. Si tienes interés en probarla, podrás descargar la ISO desde esta dirección. Allí lo encontrarás para las distintas arquitecturas para las que está disponible y en todas las versiones de instalación (en red, offline,…).

Si no conocías esta distro, deberías, puesto que es una de las grandes y más populares, usada por millones de usuarios en todo el mundo, y que cuenta con implementaciones específicas para entornos empresariales y servidores. Además, es muy popular por su robustez, una auténtica roca que no da problemas en cuanto a estabilidad, especialmente la versión openSUSE Leap, ya que Tumbleweed es una distro de lanzamiento continuo con la que tener lo último, pero sin tanta solidez.

Pues bien, ahora, openSUSE Leal 15.3 ya tiene un candidato a lanzamiento final, con el adelanto de las novedades presentes en la versión final de esta serie. En cuanto a los cambios, aquí tienes un resumen con lo más destacado:

  • Kernel Linux 5.3.18, misma usada ahora en SUSE Linux Enterprise 15 SP3. Recuerda que openSUSE Leap 15.3 es compatible a nivel binario con SUSE Linux Enterprise 15 SP3.
  • Mejoras de soporte para las arquitecturas s390x, PowerPC (PPC64LE), ARM 64 (AARCH64) y x86-64.
  • Incorpora también nuevas versiones de los entornos de escritorio soportados, como KDE Plasma 5.18 LTS con Frameworks 5.76.0, GNOME 3.34 y Xfce 4.16.
  • openSUSE Leap 15.3 también proporciona el compositor Wayland Sway, algo fantástico si te gustan los gestores de ventajas en mosaico.
  • Se han agregado varios paquetes de inteligencia artificial, como Tensorflow, la biblioteca PyTorch, o el framework ONNX.
  • También tienes GNU Health, QGIS, Prometheus, Grafana, etc., para los que se dedican al sector salud, investigación, etc.
  • Ahora incluye LibreOffice 7.1.1 como suite ofimática.
  • También otras actualizaciones de paquetes como Thunderbird 78.7.1, Roundcube 1.3.15, Chrome 89, Firefox (ESR) 78.7.1, y Python 3.6.12.

from Linux Adictos https://ift.tt/2PRxRze
via IFTTT

WhatsApp Beta para Android ofrece más detalles sobre las copias de seguridad cifradas

WhatsApp Beta para Android ofrece más detalles sobre las copias de seguridad cifradas

El cliente de mensajería WhatsApp no para de recibir novedades a través de su versión Beta, como sus nuevos paquetes de stickers animados o poder cambiar la velocidad de reproducción de las notas, pero su versión en desarrollo también nos avanza algunas de sus próximas novedades.

Desde hace más de un año sabemos que WhatsApp prepara las copias de seguridad cifradas para dar más protección al usuario, pero en todo este tiempo todavía esta característica está en desarrollo, con lo que tenemos que ir descubriendo cómo funcionará con las filtraciones de su propio código fuente.


Continue reading

Raytheon: Supply Chain, Ransomware, Zero Trust Biggest Security Priorities

SPONSORED CONTENT. While organizations may be more vulnerable than ever to supply chain hacks and ransomware, they can look to Zero Trust frameworks to keep their users and data safe, said Jon Check, a senior director in Raytheon’s cyber protection solutions business unit. Check also foresees wider use of automation to handle tasks humans in the SOC can’t get to.

from Dark Reading: https://ift.tt/2PMQKTO
via IFTTT