Software-update: PuTTY 0.65 bèta

Er is een nieuwe release van PuTTY beschikbaar gekomen en zoals gebruikelijk wordt deze als bèta aangeboden. PuTTY is een van de populairste telnet- en ssh-clients, waarmee het mogelijk is om een computer over een beveiligde verbinding op afstand te beheren. Oorspronkelijk was het programma alleen beschikbaar voor Windows, maar er zijn tegenwoordig ook clients voor de diverse Unix-platforms. De changelog voor versie 0.65 kan hieronder worden gevonden.

PuTTY 0.65 released, containing bug fixes

PuTTY 0.65 fixes the Vista bug where the configuration dialog became invisible, and a few other bugs, large and small.

These features are new in beta 0.65:

• Incoming connections to PuTTY tools (to forwarded ports and to the connection-sharing socket) now log their source address or pid, where facilities exist to do so.
• Cryptography speedup on 64-bit Unix platforms by using gcc and clang's __uint128_t built-in type.
• Bug fix: the configuration dialog is no longer accidentally invisible in some Windows Vista display themes.
• Bug fix: the Windows PuTTY GUI no longer becomes unresponsive if the server sends a continuous flood of data. (Sorry! We fixed that once before, but it came back in 0.64.)
• Bug fix: PSFTP now returns a failure exit status if a command fails in a batch-mode script.
• Bug fix: ESC [ 13 t can no longer elicit an invalid escape sequence as a response.

Versienummer	0.65 bèta
Releasestatus	Final
Besturingssystemen	Windows 7, Linux, Windows XP, UNIX, Windows Server 2003, Windows Vista, Windows Server 2008, Windows Server 2012, Windows 8, Windows 10
Website	PuTTY
Download	http://www.chiark.greenend.org.uk/~sgtatham/putty/download.html
Bestandsgrootte	512,00kB
Licentietype	GPL

Reacties (17)

Er is recent (einde mei) een Trojanized versie van putty aan het licht gekomen.
Gebruikers doen er goed aan de "about putty" te bekijken. Hier zou "Release 0.xx" en niet "Unidentified build, Nov 29 2013 21:41:02". In dat laaste geval zit je met de Trojanized versie.

bron: http://blogs.cisco.com/security/trojanized-putty-software

Dubbel check je download sources!

Heb je misschien een sha256 hash van jouw variant? Dan kunnen we in ieder geval zien of iemand een andere versie krijgt en of de sha256 over bijv. een paar maanden nog steeds hetzelfde is.

Een zojuist gedownloade kopie van putty.exe geeft bij mij de volgende hash: 8aafc0858cb440910b9b7f237124f373389591a488a77d3d367da56bbf462678

Ik vind op dit moment één andere source die dezelfde hash heeft: http://www.heise.de/forum...ff/posting-21037090/show/ maar dat is ook vandaag gepubliceerd dus heeft nog niet heel veel toegevoegde waarde.

@Henk Poley: hashes hebben alleen toegevoegde waarde als je ze via een ander kanaal download dan waar je de binary vandaan haalt, http of https maakt dus niet echt uit. Vandaar dat het publiceren van hashes op bijvoorbeeld mailing lists of hier op t.net wel iets toevoegt.

/edit
Apart, volgens VirusTotal geven 3 van de 55 anti-virus scanners aan dat er ook in de putty.exe die ik net gedownload heb een virus zit: https://www.virustotal.co...2678/analysis/1438020090/

Ik heb de eerder genoemde putty van de volgende pagina gehaald: http://www.chiark.greenen...atham/putty/download.html

/edit2:
Op windows schijn je het volgende te kunnen gebruiken voor het uitrekenen van de hash van een file:
certutil -hashfile putty.exe SHA256

Op OS X is het iig:
$ shasum -a 256 Downloads/putty.exe
8aafc0858cb440910b9b7f237124f373389591a488a77d3d367da56bbf462678 Downloads/putty.exe

/edit3:
Het is misschien een mooie aanvulling op de t.net software tracker om voortaan ook hashes te publiceren met de aankondiging. Op deze manier is er altijd een side-channel met hashes beschikbaar voor de software die hier wordt aangekondigt. checksum bij downloads

[Reactie gewijzigd door SlaSauS op 27 juli 2015 20:31]

Apart, volgens VirusTotal geven 3 van de 55 anti-virus scanners aan dat er ook in de putty.exe die ik net gedownload heb een virus zit

Geen virus, maar zoals je op de Virustotal pagina kunt zien een trojan. Shakat is een backdoor trojan die als doel heeft een hacker remote access te geven. En hee, dat is precies wat Putty ook doet.

Met andere woorden, dit zijn false positives die de remote access functie van Putty aanzien voor een trojan.

Is dat niet wat te simpel gedacht? De Putty-suite bevat immers alleen clients, geen servers.

Edit 3 is een leuk idee, maar hoe weet je dan heel zeker dat tweakers ook geen malware variant heeft gedownload? zolang bgp, dns, tls en webservers gehijacked kunnen worden is er eigenlijk nooit zekerheid of veiligheid.

of mischien dat paranoia me eindelijk te pakken heeft.

Dat weet je ook niet, het enige wat je weet is of jij wel dezelfde versie download als de rest van de wereld en het stelt iedereen in staat het bestand voor langere termijn te monitoren. Er zijn gewoon te weinig plaatsen waar hashes worden gepubliceerd waardoor een search op een hash vaak geen resultaat oplevert en je geen idee hebt of je wel dezelfde versie binnenhaalt als andere mensen in de afgelopen tijd.

8aafc0858cb440910b9b7f237124f373389591a488a77d3d367da56bbf462678 *putty.exe

Leuk idee SlaSaus, maar ik vrees dat dit qua workload voor tweakers zelfs wat zwaar wordt.
Bovendien zijn 3rd party checksums niet veel waard omdat je niet weet of dat de originele wel is.

De leverancier is de enige die de hash zou mogen moeten verspreiden. Helaas zijn we daar nog ver af.

Niets belet de gebruikers (wij) om de hash hier te posten als aanvulling.

Überhaupt wordt Putty niet over een TLS verbinding aangeboden. Er kan dus tijdens de download ook van alles mee gedaan worden.

Ze publiceren weliswaar RSA/DSA sleutels waarmee met GnuPG de echtheid kan verifiëren (die staan op dezelfde onbeveiligde site..). Het zou handiger zijn als ze gewoon de in Windows ingebouwde hashes gebruiken. Daar wordt Putty immers het meeste gebruikt.

MobaXterm is bijvoorbeeld wel over HTTPS beschikbaar.

Edit: ah, beter kijken. Er zijn een sha*sums bestanden onderaan de lijst. Blijft feit dat ze net als het programma ook onderschept en vervangen kunnen worden, over http.

[Reactie gewijzigd door Henk Poley op 27 juli 2015 13:18]

De hashes die Windows te bieden heeft uit je voorbeeld zijn eigenlijk allemaal op 2 na onbruikbaar om dat ze zo makkelijk collisions kunnen fabriceren voor die hashes.

Hopelijk wordt KiTTY ook snel geupdate: http://www.9bis.net/kitty/
Gebruik deze voornamelijk voor het kunnen klikken op linken in de terminal.

of tutty voor terminals(Avaya)

Er zijn wel meer concurrenten voor Putty. Om er een paar te noemen:
- http://home.planet.nl/~ruurdb/IVT.HTM
- mobaXterm (al eerder genoemd)
- een overzicht: https://www.parsec.com/os/emulators.php

Ik gebruik zelf cygwin/X i.c.m. ssh. Werkt ook prima. Wat op zijn beurt een vervanger is van Exceed en later Reflection. Gratis, en minstense net zo goed als de genoemde betaalde varianten (die veel vaker crashten).

Hoe lang is putty nu al in beta stadium? Voor de rest een perfect programma!

Volgens mij heeft dat met liability issues te maken. Als je in Amerika zegt dat iets final is, zeg je impliciet dat er garanties aan mogen worden ontleend. Zolang je software in beta stage houdt, kan dat pertinent niet. Weet niet 100% of dat hier ook op gaat, maar tegenwoordig zit er ook wel wat 'politiek' in software verwikkeld. Volgens mij begon dat met Google's Gmail, die bleef ook ontzettend lang in beta stage hangen.

Als je de voorwaarden goed regelt dan zou het toch niet zo ingewikkeld moeten zijn. De meeste andere freeware heeft dit probleem in ieder geval niet. Als het echt beta is dan zou men naar mijn mening beter tijd kunnen steken in het maken van een final versie.
Het heeft trouwens wel wat weg van 7-Zip (http://www.7-zip.org/) waar ook al jarenlang de versies beta zijn.

wow...
PuTTY 0.65 fixes the Vista bug where the configuration dialog became invisible, and a few other bugs, large and small.

Zijn er (nog) mensen die Vista gebruiken?

Ja, die zijn er, ook al zal dat niet enorm veel zijn. Ik vrees dat Windows XP ook nog gebruikt wordt.