2023-12-18 官方發(fā)布了PuTTY 0.80
本次發(fā)布主要是針對(duì)Terrapin攻擊(CVE-2023-48795)的修改發(fā)布。
更多詳細(xì)的內(nèi)容請(qǐng)查看PuTTY Change Log。

有關(guān)Terrapin攻擊可用簡(jiǎn)單參考：警告！！！Terrapin攻擊(CVE-2023-48795)~~~

? ? ? ?為了緩解此漏洞，需要啟用OpenSSH項(xiàng)目定義的名為'strict KEX'的SSH擴(kuò)展，PuTTY 0.80中已有實(shí)現(xiàn)。并且這個(gè)漏洞是雙向的，所以需要服務(wù)器與客戶端同時(shí)實(shí)現(xiàn)這個(gè)擴(kuò)展。已經(jīng)實(shí)現(xiàn)這一擴(kuò)展的相關(guān)應(yīng)用可以簡(jiǎn)單參考：list of SSH implementations。在沒(méi)有緩解措施的情況下，該漏洞也只能是在使用某些加密算法時(shí)被利用。在PuTTY支持的算法中受影響的包括：ChaCha20-Poly1305(PuTTY中的名稱為ChaCha20)以及AES-CBC(AES系列中的一種模式)。可以通過(guò)設(shè)置避免使用ChaCha20，AES-CBC更多的依賴服務(wù)器的設(shè)置選擇，PuTTY不能完全主導(dǎo)。

?

? ? ? ?其它關(guān)于Terrapin攻擊的更多信息請(qǐng)自行查找了解，強(qiáng)烈建議更新相關(guān)軟件到最新版本以避免這個(gè)問(wèn)題。PuTTY 0.79 及其之前的版本都會(huì)受到它的影響，如果可能的話強(qiáng)烈建議使用PuTTY 0.80或者之后的版本，當(dāng)然這由你自己決定。

? ? ? ?基于上述原因，此次同步更新cnPuTTY 0.80.0.1發(fā)布。其中包含對(duì)cnPuTTY本身問(wèn)題的簡(jiǎn)單修正。詳細(xì)的內(nèi)容如下：

1.Windows系統(tǒng)下的相關(guān)說(shuō)明

? ? ? ?在連接中沒(méi)有實(shí)現(xiàn)'strict KEX'擴(kuò)展并且使用了易受攻擊的算法時(shí)，PuTTY將彈出Terrapin攻擊風(fēng)險(xiǎn)的報(bào)警信息如下：

如果繼續(xù)進(jìn)行連接，連接建立后的事件日志如下：

存在Terrapin攻擊隱患的日志輸出
2023-12-25 23:45:30	查找主機(jī) "192.168.44.137" 來(lái)自 SSH連接
2023-12-25 23:45:30	連接到 192.168.44.137 端口 22
2023-12-25 23:45:30	我們聲明的版本：SSH-2.0-PuTTY_Release_0.80
2023-12-25 23:45:30	連接到 192.168.44.137
2023-12-25 23:45:30	遠(yuǎn)程版本：SSH-2.0-OpenSSH_9.2p1 Debian-2
2023-12-25 23:45:30	使用SSH協(xié)議版本 2
2023-12-25 23:45:30	沒(méi)有GSSAPI安全可用的使用條件
2023-12-25 23:45:30	當(dāng)前SSH連接容易受到'Terrapin'攻擊(別名CVE-2023-48795)
2023-12-25 23:46:43	盡管存在'Terrapin'漏洞，但用戶仍舊要求繼續(xù)進(jìn)行連接
2023-12-25 23:46:43	執(zhí)行 NTRU Prime / Curve25519 hybrid key exchange,使用哈希 SHA-512 (unaccelerated)
2023-12-25 23:46:43	服務(wù)器也有ecdsa-sha2-nistp256/rsa-sha2-512/rsa-sha2-256主機(jī)密鑰,但我們未存儲(chǔ)它們
2023-12-25 23:46:43	主機(jī)密鑰指紋是：
2023-12-25 23:46:43	ssh-ed25519 255 SHA256:yAU3FBTxrgwp4RtC/IyqtoKx9jXYOPPa8zMKDIa6Q00
2023-12-25 23:46:43	已初始化 ChaCha20 出站加密
2023-12-25 23:46:43	已初始化 Poly1305 出站MAC算法(在ETM模式)(加密要求)
2023-12-25 23:46:43	已初始化 ChaCha20 入站加密
2023-12-25 23:46:43	已初始化 Poly1305 入站MAC算法(在ETM模式)(加密要求)
2023-12-25 23:47:22	發(fā)送密碼
2023-12-25 23:47:22	授予訪問(wèn)權(quán)限
2023-12-25 23:47:22	打開(kāi)主會(huì)話通道
2023-12-25 23:47:22	已開(kāi)通主通道
2023-12-25 23:47:22	已分配 pty
2023-12-25 23:47:22	已啟動(dòng) shell/command

? ? ? ?在連接中實(shí)現(xiàn)'strict KEX'擴(kuò)展時(shí)，無(wú)論算法如何，都能避免漏洞的使用。這需要服務(wù)器與客戶端共同支持。建立連接后，事件日志中會(huì)提示“啟用嚴(yán)格的密鑰交換規(guī)則”，如下：

///實(shí)現(xiàn)'strict KEX'擴(kuò)展時(shí)的事件日志
2023-12-27 23:19:15	查找主機(jī) "192.168.44.131" 來(lái)自 SSH連接
2023-12-27 23:19:15	連接到 192.168.44.131 端口 22
2023-12-27 23:19:15	我們聲明的版本：SSH-2.0-PuTTY_Release_0.80
2023-12-27 23:19:15	連接到 192.168.44.131
2023-12-27 23:19:15	遠(yuǎn)程版本：SSH-2.0-OpenSSH_9.2p1 Debian-2+deb12u2
2023-12-27 23:19:15	使用SSH協(xié)議版本 2
2023-12-27 23:19:15	沒(méi)有GSSAPI安全可用的使用條件
2023-12-27 23:19:15	啟用嚴(yán)格的密鑰交換規(guī)則
2023-12-27 23:19:15	執(zhí)行 NTRU Prime / Curve25519 hybrid key exchange,使用哈希 SHA-512 (unaccelerated)
2023-12-27 23:19:15	服務(wù)器也有ecdsa-sha2-nistp256/rsa-sha2-512/rsa-sha2-256主機(jī)密鑰,但我們未存儲(chǔ)它們
2023-12-27 23:19:15	主機(jī)密鑰指紋是：
2023-12-27 23:19:15	ssh-ed25519 255 SHA256:hQMU2IJghTkNZROO6rx4mwyUqfLjhqCfZmvHOcjh56k
2023-12-27 23:19:15	已初始化 AES-256 SDCTR (AES-NI accelerated) 出站加密
2023-12-27 23:19:15	已初始化 HMAC-SHA-256 (unaccelerated) 出站MAC算法
2023-12-27 23:19:15	已初始化 AES-256 SDCTR (AES-NI accelerated) 入站加密
2023-12-27 23:19:15	已初始化 HMAC-SHA-256 (unaccelerated) 入站MAC算法
2023-12-27 23:19:23	發(fā)送密碼
2023-12-27 23:19:23	授予訪問(wèn)權(quán)限
2023-12-27 23:19:23	打開(kāi)主會(huì)話通道
2023-12-27 23:19:24	已開(kāi)通主通道
2023-12-27 23:19:24	已分配 pty
2023-12-27 23:19:24	已啟動(dòng) shell/command

與Windows系統(tǒng)相關(guān)的發(fā)布內(nèi)容如下圖所示：

對(duì)應(yīng)壓縮包包含相應(yīng)平臺(tái)的程序參考如下如所示：

? ? ? ? .sig文件為對(duì)應(yīng)程序的數(shù)字簽名，checksums文件包含對(duì)應(yīng)程序的SHA256、SHA1、MD5校驗(yàn)值以便驗(yàn)證程序的完整性。獲得相關(guān)程序后，請(qǐng)按需要自行選擇使用。

2.Linux系統(tǒng)下的相關(guān)說(shuō)明

? ? ? ?在連接中沒(méi)有實(shí)現(xiàn)'strict KEX'擴(kuò)展并且使用了易受攻擊的算法時(shí)，PuTTY同樣將彈出Terrapin攻擊風(fēng)險(xiǎn)的報(bào)警信息如下：?

在本次cnPuTTY 0.80.0.1的發(fā)布中，修改了字體設(shè)置面板的顯示如下如所示：

與Linux系統(tǒng)相關(guān)的發(fā)布內(nèi)容如下圖所示：

對(duì)應(yīng)壓縮包包含相應(yīng)平臺(tái)的可執(zhí)行程序參考如下如所示：?

? ? ? ?可執(zhí)行程序默認(rèn)存放的路徑為/usr/bin/，單個(gè)程序沒(méi)有提供獨(dú)立的數(shù)字簽名與校驗(yàn)信息，以對(duì)應(yīng)平臺(tái)壓縮包為整體提供數(shù)字簽名與校驗(yàn)信息。具體請(qǐng)查看對(duì)應(yīng)的checksums文件。

? ? ? ?在壓縮包當(dāng)中，除了可執(zhí)行程序外，還存在cnputty.desktop文件以及一些圖標(biāo)文件。本次發(fā)布與之前的cnPuTTY 0.79.0.1一樣，采用比較簡(jiǎn)單的方式，直接提供二進(jìn)制可執(zhí)行文件，而不是以特定封裝包的形式進(jìn)行發(fā)布，請(qǐng)知悉。
? ? ? ?在獲得壓縮包后，可直接解壓文件，并將usr文件夾復(fù)制到根目錄，相關(guān)文件會(huì)自動(dòng)添加到指定目錄。然后需要對(duì)可執(zhí)行文件賦予相關(guān)權(quán)限。接著需要復(fù)制cnputty.desktop文件到桌面以方便使用。cnputty.desktop圖標(biāo)顯示異常時(shí)，可能需要運(yùn)行以下命令來(lái)刷新圖標(biāo)緩存

sudo gtk-update-icon-cache /usr/share/icons/hicolor

? ? ? ?然后重新允許cnputty.deskto執(zhí)行。完成這些后，就可用正常使用cnPuTTY了。需要注意的是在不同的Linux發(fā)行版本中，可能會(huì)因?yàn)槟軌蚴褂米煮w的差異造成無(wú)法正常打開(kāi)會(huì)話。這時(shí)你需要在字體設(shè)置中選擇當(dāng)前系統(tǒng)可用的字體來(lái)正常打開(kāi)會(huì)話。?

? ? ? ?其它更多的參考信息請(qǐng)查看：cnPuTTY 0.79.0.1—PuTTY Release 0.79中文版本簡(jiǎn)單說(shuō)明~~?中Linux系統(tǒng)下的相關(guān)發(fā)布信息。

3.MacOS系統(tǒng)下的相關(guān)說(shuō)明

?? ? ? ?在連接中沒(méi)有實(shí)現(xiàn)'strict KEX'擴(kuò)展并且使用了易受攻擊的算法時(shí)，PuTTY也將彈出Terrapin攻擊風(fēng)險(xiǎn)的報(bào)警信息如下：?

與MacOS系統(tǒng)相關(guān)的發(fā)布內(nèi)容如下圖所示：

對(duì)應(yīng)壓縮包包含內(nèi)容參考如下如所示：

? ? ? ?與cnPuTTY 0.79.0.1發(fā)布相同，這里同樣也只提供x86_64平臺(tái)下的相關(guān)程序。.sig為數(shù)字簽名文件，checksums.txt文件包含各文件的MD5、SHA1和SHA256的校驗(yàn)值。cnPuTTY.zip解壓后為可獨(dú)立使用的cnPuTTY.app應(yīng)用。其中包含putty可執(zhí)行程序，圖標(biāo)文件putty.icns，以及一個(gè)Info.plist文件。這里是一個(gè)簡(jiǎn)易的app應(yīng)用程序，不是一個(gè)完整的、標(biāo)準(zhǔn)的蘋(píng)果系統(tǒng)下的app封裝包，在測(cè)試使用過(guò)程中能夠正常使用。?

? ? ? ?在獲取相關(guān)文件后，請(qǐng)根據(jù)自己的使用自行設(shè)置權(quán)限、路徑位置及環(huán)境變量。對(duì)于plink、pscp、psftp、puttygen這四個(gè)命令行工具，可以直接使用。它們不依賴第三方庫(kù)文件。對(duì)于pageant、putty必須安裝第三方GTK庫(kù)來(lái)獲得支持，否則無(wú)法正常使用。對(duì)于cnPuTTY.app應(yīng)用同樣需要第三方GTK庫(kù)支持，并且可以直接放置到應(yīng)用程序文件夾來(lái)方便使用。

? ? ? 這里僅是一個(gè)簡(jiǎn)易發(fā)布，未包含和集成第三方運(yùn)行庫(kù)。所以需要使用者自行解決相關(guān)庫(kù)依賴問(wèn)題。第三方GTK庫(kù)支持，推介通過(guò)Homebrew來(lái)進(jìn)行安裝。Homebrew具體安裝過(guò)程略，請(qǐng)自行查找解決。安裝好后，通過(guò) brew install gtk+3 命令來(lái)安裝第三方GTK庫(kù)。完成后可正常使用pageant、putty、cnPuTTY.app程序。你也可以通過(guò)MacPorts或者GTK-OSX來(lái)獲得GTK支持。如果你采用了這兩種方法來(lái)獲得GTK支持，那么這里的相關(guān)程序可能不適用于你的環(huán)境，你可能需要重新生成編譯。請(qǐng)注意：本例中，在MacOS當(dāng)中安裝額外的X Window環(huán)境來(lái)支持PuTTY不是必須的選項(xiàng)。當(dāng)然如果你需要可以安裝X Window相關(guān)支持，實(shí)現(xiàn)方式也有很多中方法。推介使用XQuartz，它包含X11的服務(wù)器和客戶端庫(kù)以及一個(gè)終端實(shí)例。

? ? ? ?完成所有之后，你可用以圖形界面的方式單獨(dú)使用cnPuTTY.app應(yīng)用，或者只使用命令行工具來(lái)完成會(huì)話，又或者通過(guò)XQuartz來(lái)管理和啟動(dòng)圖形界面連接會(huì)話。?

其它更多的參考信息請(qǐng)查看：cnPuTTY 0.79.0.1—PuTTY Release 0.79中文版本簡(jiǎn)單說(shuō)明~~?中MacOS系統(tǒng)下的相關(guān)發(fā)布信息。

4.JK補(bǔ)丁版的相關(guān)說(shuō)明

原始補(bǔ)丁網(wǎng)站的鏈接：PuTTY for win32 storing configuration into file?
27. 12. 2023 - Update: this modified PuTTY is now based on PuTTY 0.80 (version 0.22.0)?

? ? ???使用JK補(bǔ)丁可以獲得磁盤(pán)存儲(chǔ)支持，這個(gè)補(bǔ)丁是由國(guó)外大神重寫(xiě)了PuTTY中處理存儲(chǔ)/加載配置的相關(guān)函數(shù)來(lái)實(shí)現(xiàn)。相較于其它方式，這個(gè)更接近原版本程序并且使用方便，無(wú)需額外文件支持。國(guó)外大神從2005年至今一直長(zhǎng)期支持補(bǔ)丁更新實(shí)屬非常難得。?

? ? ? ?運(yùn)行包含補(bǔ)丁的程序會(huì)在同級(jí)目錄中自動(dòng)生成會(huì)話目錄、SSH主機(jī)密鑰目錄以及隨機(jī)種子文件，如下：

./sessions/packedSessionName
./sshhostkeys/packedHostName
./putty.rnd

? ? ? ?添加補(bǔ)丁后，提高了程序使用的便攜性，可以放置在U盤(pán)或者其它介質(zhì)中，而不需要每次使用時(shí)都去重新配置，方便在需要的地方使用它。除了將相關(guān)配置信息存儲(chǔ)到文件外，與普通版本的程序使用沒(méi)有任何差別。?

與JK補(bǔ)丁相關(guān)的發(fā)布內(nèi)容如下圖所示：

其它更多的參考信息請(qǐng)查看：cnPuTTY 0.79.0.1—PuTTY Release 0.79中文版本簡(jiǎn)單說(shuō)明~~?中JK磁盤(pán)存儲(chǔ)補(bǔ)丁的相關(guān)發(fā)布信息。

5.如何獲得相關(guān)程序等內(nèi)容？？

? ? ? ?第一推介的建議是不去使用它，包括但不限于cnPuTTY的MacOS、Linux以及Windows下的程序，因?yàn)檫@樣你將不會(huì)面臨任何相關(guān)問(wèn)題。

?? ? 【重要提醒：沒(méi)有人能夠確定或者保證cnPuTTY會(huì)跟隨PuTTY的后續(xù)更新發(fā)布同步更新，也不能夠確?；蛘弑ＷCcnPuTTY自身版本會(huì)進(jìn)行后續(xù)更新或者修補(bǔ)，也許cnPuTTY的發(fā)布、更新僅僅是一次性的。請(qǐng)知悉！！】

可執(zhí)行程序的獲得，這是cnPuTTY出處的唯一永久性可執(zhí)行程序的分享鏈接：https://pan.baidu.com/s/1NOdcUNUOAapHL4baKxDoVg?pwd=7wz9https://pan.baidu.com/s/1NOdcUNUOAapHL4baKxDoVg?pwd=7wz9可在網(wǎng)盤(pán)中獲得如下所有內(nèi)容：

? ? ? ?請(qǐng)根據(jù)需要自行選擇，其中cnPuTTY_Release_public.asc為發(fā)布公鑰，可以用來(lái)驗(yàn)證數(shù)字簽名以確保程序完整性。該公鑰已經(jīng)上傳到公共域的服務(wù)器當(dāng)中，也可以從相關(guān)服務(wù)器自行獲取。公鑰相關(guān)信息如下：
cnPuTTY_Release_public.asc
指紋：E165 4745 E33E D940 E5A8 ?70A1 D7EE F8BB 0749 C805

源代碼的獲得，當(dāng)然這也是cnPuTTY出處的唯一永久性源代碼的分享鏈接：https://github.com/dZ8Lx9OwX/cnPuTTYhttps://github.com/dZ8Lx9OwX/cnPuTTY

自此所有cnPuTTY 0.80.0.1的相關(guān)信息已經(jīng)分享完畢，剩下的事情請(qǐng)自行決定。

??? ? 【必要的安全提醒】：介于PuTTY歷史上有出現(xiàn)“內(nèi)置后門事件”，在此無(wú)法確保是否有人出于另外的原因修改了cnPuTTY導(dǎo)致不可預(yù)知的后果或者事件，所以在此特別強(qiáng)調(diào)了本發(fā)布的唯一分享途徑，其它途徑不確定是否相同。是否從其他可以信賴的地方獲得可執(zhí)行程序或源代碼，這是你的選擇！！其他任何人所做的修改都不應(yīng)當(dāng)被認(rèn)為是與本發(fā)布相同，如果你進(jìn)行了類似的修改工作，請(qǐng)務(wù)必讓他人有明確的區(qū)分，以免混淆。當(dāng)然這也是對(duì)你有益的，其他任何善意的修改都值得肯定。

? ? ? 【免責(zé)聲明】：本篇內(nèi)容及其它相關(guān)內(nèi)容遵從相同的原則，這個(gè)原則也同樣來(lái)源和適用于cnPuTTY、cnPuTTY CAC及cnKiTTY相關(guān)信息及內(nèi)容。相關(guān)內(nèi)容及發(fā)布與PuTTY、PuTTY CAC及KiTTY遵從相同的發(fā)布許可，不提供任何保證、不承擔(dān)任何責(zé)任。包括但不限于已發(fā)布內(nèi)容、已知信息或者其他相關(guān)的信息，以及直接或者間接的其他任何未知的情況，均不提供任何擔(dān)保、不承擔(dān)任何責(zé)任。你應(yīng)當(dāng)充分驗(yàn)證自己的需求和使用，以免造成不必要的麻煩。更多的其他信息請(qǐng)以相關(guān)網(wǎng)站的內(nèi)容為準(zhǔn)。所有的相關(guān)信息的獲得請(qǐng)自行甄別驗(yàn)證，并自行承擔(dān)相關(guān)責(zé)任。