Rilasciato OpenSSH 10.2: correzione critica per ControlPersist e preparazione all’abbandono di SHA1

di Alex · 11 Ottobre 2025

OpenSSH è uno degli strumenti più importanti e diffusi per la gestione sicura delle connessioni remote su sistemi operativi Unix-like e non solo. Sviluppato e mantenuto all’interno del progetto OpenBSD, OpenSSH fornisce una suite di utility per la comunicazione cifrata tra host, tra cui il protocollo SSH (Secure Shell), il client ssh, il server sshd, e strumenti ausiliari come ssh-keygen e sftp. OpenSSH è distribuito con una licenza BSD, che ne consente l’utilizzo libero, la modifica e la redistribuzione, sia in ambito personale che commerciale.

Il software è multi-piattaforma e supporta ufficialmente i seguenti sistemi operativi: GNU/Linux, macOS, Windows (attraverso il sottosistema Windows per Linux o client dedicati), BSD e altri derivati Unix. La sua adozione è pressoché universale, grazie alla robustezza, sicurezza e affidabilità che lo contraddistinguono.

L’ultima versione stabile prima dell’attuale rilascio di OpenSSH 10.2 è stata la versione OpenSSH 10.1, rilasciata il 6 ottobre 2025.

Novità in OpenSSH 10.2

OpenSSH 10.2 introduce correzioni critiche e miglioramenti significativi, con particolare attenzione alla risoluzione di un problema che rendeva inutilizzabili le sessioni SSH quando era attivata la funzione ControlPersist. Questa funzionalità, che mantiene aperta una connessione principale per consentire un riutilizzo più rapido delle sessioni successive, presentava un malfunzionamento nella gestione dei terminali, impedendo agli utenti di interagire correttamente con le sessioni remote. Il bug, emerso nella versione 10.1, è stato ora risolto, ripristinando la piena operatività di ControlPersist.

Oltre a questa correzione, OpenSSH 10.2 include aggiornamenti per ssh-keygen, lo strumento dedicato alla generazione e gestione delle chiavi crittografiche. Inoltre sono stati risolti 2 problemi specifici:

Un errore che impediva il corretto scaricamento delle chiavi da token PKCS#11 (uno standard definito dai RSA Laboratories che specifica un’interfaccia di programmazione (API) per la gestione di dispositivi crittografici, come smart card e token USB).
Un malfunzionamento durante le operazioni di firma da parte di un’autorità di certificazione (CA), quando la chiave dell’autorità era memorizzata in ssh-agent (un demone che gestisce le chiavi SSH in memoria per evitare di doverle inserire ripetutamente).

Dal punto di vista della portabilità, questa versione migliora la compatibilità con sistemi che non supportano la funzione di sistema mmap (utilizzata per mappare file in memoria), come gli ambienti WebAssembly (WASM). Sono state risolte problematiche relative a intestazioni mancanti su FreeBSD, migliorato il supporto per versioni obsolete di macOS prive della funzione clock_gettime, e corretto un potenziale blocco del demone sshd in presenza di nomi host sconosciuti in specifiche configurazioni PAM (Pluggable Authentication Modules).

Infine, gli sviluppatori hanno annunciato un avviso di deprecazione anticipata: il supporto per i record SSHFP (SSH Fingerprint), utilizzati nel DNS (Domain Name System) per pubblicare le impronte digitali (fingerprint) delle chiavi pubbliche SSH associate a un dominio, basati su SHA1 verrà rimosso in una futura versione di OpenSSH. A causa delle note vulnerabilità dell’algoritmo SHA1, le versioni successive ignoreranno completamente questi record, affidandosi esclusivamente a SHA256, già supportato a partire da OpenSSH 6.1 (rilasciato nel 2012).

Compatibilità e distribuzione

OpenSSH 10.2 ha una variante appositamente ottimizzata per essere compilata, installata ed eseguita su sistemi operativi diversi da OpenBSD, il sistema nativo per cui OpenSSH è stato inizialmente sviluppato, contraddistinta dalla presenza di una p nel seriale: OpenSSH 10.2p1. Mentre la versione originale, OpenSSH 10.2, è strettamente integrata con OpenBSD, quella portabile, OpenSSH 10.2p1, viene adattata per garantire il corretto funzionamento su GNU/Linux, macOS e altre distribuzioni BSD, dove le differenze a livello di kernel, librerie di sistema e strumenti di gestione potrebbero altrimenti causare incompatibilità o malfunzionamenti.

Questa versione portabile include correzioni di compatibilità specifiche per ciascuna piattaforma, come ad esempio:

Adeguamenti alle librerie di sistema (ad esempio, per la gestione della crittografia o delle connessioni di rete).
Supporto per chiamate di sistema (syscall) che possono variare tra i diversi sistemi operativi.
Ottimizzazioni per l’integrazione con gli ambienti grafici, come il nuovo strumento askpass per GNOME 40 e versioni successive, che semplifica l’inserimento delle password in interfacce grafiche, rendendo l’esperienza utente più intuitiva e accessibile.

Inoltre, la versione portabile è pensata per sistemi con architetture hardware diverse (ad esempio, 32-bit o 64-bit) e include miglioramenti per la gestione di funzionalità avanzate come PAM (Pluggable Authentication Modules) e seccomp (un meccanismo di sandboxing per limitare le azioni dei processi).

Grazie a queste modifiche, OpenSSH 10.2 può essere utilizzato in modo affidabile su una vasta gamma di sistemi, mantenendo tutte le sue funzionalità di sicurezza e prestazioni. Per un elenco dettagliato delle modifiche tecniche, è possibile consultare il changelog (registro delle modifiche) ufficiale in formato testo o nel più leggibile formato HTML.

Per scaricare OpenSSH 10.2, visitare la pagina dei mirror ufficiali.

Fonte: https://www.openssh.com/txt/release-10.2
Fonte: https://www.openssh.com/releasenotes.html#10.2
Fonte: https://linuxiac.com/openssh-10-2-released-with-key-bugfix-for-controlpersist-issue/

Visited 34 times, 1 visit(s) today

Se vuoi sostenerci, puoi farlo acquistando qualsiasi cosa dai diversi link di affiliazione che abbiamo nel nostro sito o partendo da qui oppure alcune di queste distribuzioni GNU/Linux che sono disponibili sul nostro negozio online, quelle mancanti possono essere comunque richieste, e su cui trovi anche PC, NAS e il ns ServerOne. Se ti senti generoso, puoi anche donarmi solo 1€ o più se vuoi con PayPal e aiutarmi a continuare a pubblicare più contenuti come questo. Grazie!

Hai dubbi o problemi? Ti aiutiamo noi!

Se vuoi rimanere sempre aggiornato, iscriviti al nostro canale Telegram.
Se vuoi ricevere supporto per qualsiasi dubbio o problema, iscriviti alla nostra community Facebook o gruppo Telegram.

Cosa ne pensi? Fateci sapere i vostri pensieri nei commenti qui sotto.
Ti piace quello che leggi? Per favore condividilo con gli altri.