å¡ä¾¬ ææ» é¢ç´çæ¬ ï¼LCKmusicé¢ç´æ¹ç¼æ¼å¥ï¼
如果您使用OpenSSH客户端通过安全外壳（SSH）协议连接到服务器，则应立即更新。最新版本修补了一个漏洞，可能允许流氓或受损服务器读取用户的私有身份验证密钥。
该漏洞源自称为漫游的实验性功能，允许恢复SSH连接。 OpenSSH客户端自2010年3月发布5.4版本以来，默认情况下已启用此功能，但OpenSSH服务器实施中不存在此功能。因此，只有客户端受到影响。
该漏洞允许服务器从连接客户端的内存中读取信息，包括其私钥。它已在周四发布的OpenSSH 7.1p2中修复。
[更多阅读：如何从Windows PC删除恶意软件]一种可能的缓解措施是将未公开的配置选项“UseRoaming no”添加到全局ssh_config文件。
由于SSH的工作方式，在认证之前服务器的身份由客户端加密检查，中间人攻击者无法利用此漏洞
这意味着攻击者必须说服用户连接到恶意服务器或危害合法的SSH服务器，然后窃取其用户的私有身份验证密钥。根据安全公司Qualys的研究人员发现的漏洞，后一种情况更可能发生。
SSH允许基于公钥加密的身份验证，事实上，这是最安全和首选的选项。客户端首先生成一个私钥和公钥对。公钥与服务器共享，私钥只存储在客户端上，用于证明用户的身份。
通过此漏洞窃取用户的私有SSH密钥可能会使攻击者永久访问通过其他方式泄露的服务器手段。即使黑客使用的初始入口点是被识别并修复的，他们仍然可以使用SSH密钥作为合法用户登录。
此外，有些人在多台服务器上重复使用SSH密钥，就像有些人重复使用多个网站的密码。这意味着用户SSH密钥的泄露可能会让多台服务器处于危险之中。
“这种信息泄漏可能已经被复杂的攻击者利用，而高调的网站或用户可能需要重新生成SSH相应的密钥，“Qualys的研究人员在一份公告中称。”
