crypto/openssh/FREEBSD-upgrade

   1             FreeBSD maintainer's guide to OpenSSH-portable
   2             ==============================================
   3
   4 00) Make sure your mail spool has plenty of free space.  It'll fill up
   5     pretty fast once you're done with this checklist.
   6
   7 01) Download the latest OpenSSH-portable tarball and signature from
   8     OpenBSD (ftp://ftp.openbsd.org/pub/OpenBSD/OpenSSH/portable/).
   9
  10 02) Verify the signature:
  11
  12     $ gpg --verify openssh-X.YpZ.tar.gz.asc
  13
  14 03) Unpack the tarball in a suitable directory:
  15
  16     $ tar xf openssh-X.YpZ.tar.gz
  17
  18 04) Copy to the vendor directory:
  19
  20     $ svn co svn+ssh://svn.freebsd.org/base/vendor-crypto/openssh/dist
  21     $ rsync --archive --delete openssh-X.YpZ/ dist/
  22
  23 05) Take care of added / deleted files:
  24
  25     $ svn rm $(svn stat dist | awk '$1 == "!" { print $2 }')
  26     $ svn add --no-auto-props $(svn stat dist | awk '$1 == "?" { print $2 }')
  27
  28 06) Commit:
  29
  30     $ svn commit -m "Vendor import of OpenSSH X.YpZ." dist
  31
  32 07) Tag:
  33
  34     $ svn copy -m "Tag OpenSSH X.YpZ." \
  35         svn+ssh://svn.freebsd.org/base/vendor-crypto/openssh/dist \
  36         svn+ssh://svn.freebsd.org/base/vendor-crypto/openssh/X.YpZ
  37
  38 08) Check out head and run the pre-merge script, which strips our RCS
  39     tags from files that have them:
  40
  41     $ svn co svn+ssh://svn.freebsd.org/base/head
  42     $ cd head/crypto/openssh
  43     $ sh freebsd-pre-merge.sh
  44
  45 09) Merge from the vendor branch:
  46
  47     $ svn merge -cNNNNNN \^/vendor-crypto/openssh/dist .
  48
  49 0A) Resolve conflicts.  Remember to bump the version addendum in
  50     version.h, and update the default value in ssh{,d}_config and
  51     ssh{,d}_config.5.
  52
  53 0B) Diff against the vendor branch:
  54
  55     $ svn diff --no-diff-deleted --no-diff-added \
  56         --ignore-properties \^/vendor-crypto/openssh/X.YpZ .
  57
  58     Files that have modifications relative to the vendor code, and
  59     only those files, must have the svn:keywords property set to
  60     FreeBSD=%H and be listed in the 'keywords' file created by the
  61     pre-merge script.
  62
  63 0C) Run the post-merge script, which re-adds RCS tags to files that
  64     need them:
  65
  66     $ sh freebsd-post-merge.sh
  67
  68 0D) Run the configure script:
  69
  70     $ sh freebsd-configure.sh
  71
  72 0E) Review changes to config.h very carefully.
  73
  74 0F) If source files have been added or removed, update the appropriate
  75     makefiles to reflect changes in the vendor's Makefile.in.
  76
  77 10) Build libssh:
  78
  79     $ cd ../../secure/lib/libssh && make obj && make depend && make
  80
  81 11) Follow the instructions in ssh_namespace.h to get a list of new
  82     symbols, and them to ssh_namespace.h.  Keep it sorted!
  83
  84 12) Build and install world, reboot, test.  Pay particular attention
  85     to pam_ssh(8), which gropes inside libssh and will break if
  86     something significant changes or if ssh_namespace.h is out of
  87     whack.
  88
  89 13) Commit, and hunker down for the inevitable storm of complaints.
  90
  91 \f
  92
  93           An overview of FreeBSD changes to OpenSSH-portable
  94           ==================================================
  95
  96 0) VersionAddendum
  97
  98    The SSH protocol allows for a human-readable version string of up
  99    to 40 characters to be appended to the protocol version string.
 100    FreeBSD takes advantage of this to include a date indicating the
 101    "patch level", so people can easily determine whether their system
 102    is vulnerable when an OpenSSH advisory goes out.  Some people,
 103    however, dislike advertising their patch level in the protocol
 104    handshake, so we've added a VersionAddendum configuration variable
 105    to allow them to change or disable it.  Upstream added support for
 106    VersionAddendum on the server side, but we also support it on the
 107    client side.
 108
 109 1) Modified server-side defaults
 110
 111    We've modified some configuration defaults in sshd:
 112
 113       - UsePAM defaults to "yes".
 114       - PermitRootLogin defaults to "no".
 115       - X11Forwarding defaults to "yes".
 116       - PasswordAuthentication defaults to "no".
 117       - VersionAddendum defaults to "FreeBSD-YYYYMMDD".
 118       - PrivilegeSeparation defaults to "sandbox".
 119       - UseDNS defaults to "yes".
 120
 121 2) Modified client-side defaults
 122
 123    We've modified some configuration defaults in ssh:
 124
 125       - CheckHostIP defaults to "no".
 126       - VerifyHostKeyDNS defaults to "yes" if built with LDNS.
 127       - VersionAddendum defaults to "FreeBSD-YYYYMMDD".
 128
 129 3) Canonic host names
 130
 131    We've added code to ssh.c to canonicize the target host name after
 132    reading options but before trying to connect.  This eliminates the
 133    usual problem with duplicate known_hosts entries.
 134
 135 4) setusercontext() environment
 136
 137    Our setusercontext(3) can set environment variables, which we must
 138    take care to transfer to the child's environment.
 139
 140 5) TCP wrappers
 141
 142    Support for TCP wrappers was removed in upstream 6.7p1.  We've
 143    added it back by porting the 6.6p1 code forward.
 144
 145 6) DSA keys
 146
 147    DSA keys were disabled by default in upstream 6.9p1.  We've added
 148    them back.
 149
 150 7) Agent client reference counting
 151
 152    We've added code to ssh-agent.c to implement client reference
 153    counting; the agent will automatically exit when the last client
 154    disconnects.
 155
 156 8) Class-based login restrictions
 157
 158    We've added code to auth2.c to enforce the host.allow, host.deny,
 159    times.allow and times.deny login class capabilities.
 160
 161 9) HPN
 162
 163    We no longer have the HPN patches (adaptive buffer size for
 164    increased throughput on high-BxD links), but we recognize and
 165    ignore HPN-related configuration options to avoid breaking existing
 166    configurations.
 167
 168 A) AES-CBC
 169
 170    The AES-CBC ciphers were removed from the server-side proposal list
 171    in 6.7p1 due to theoretical weaknesses and the availability of
 172    superior ciphers (including AES-CTR and AES-GCM).  We have re-added
 173    them for compatibility with third-party clients.
 174
 175 \f
 176
 177 This port was brought to you by (in no particular order) DARPA, NAI
 178 Labs, ThinkSec, Nescafé, the Aberlour Glenlivet Distillery Co.,
 179 Suzanne Vega, and a Sanford's #69 Deluxe Marker.
 180
 181                                         -- des@FreeBSD.org
 182
 183 $FreeBSD$