Публикувана е версия OpenSSH 9.7, отворена реализация на клиент и сървър за работа по протоколите SSH 2.0 и SFTP. В предложената версия започнаха изменения, предшестващи бъдещото прекратяване на поддръжката на ключовете, основани на алгоритъма DSA. В OpenSSH 9.7 е предоставена опция за деактивиране на DSA по време на компилация, но по подразбиране събирането все още запазва поддръжката на DSA. В следващото издание, насрочено за юни, режимът на събиране ще бъде променен на деактивиране на DSA по подразбиране, а в началото на 2025 година реализацията на DSA ще бъде премахната от кодовата база.
По подразбиране използването на ключове DSA беше прекратено още през 2015 година, но кодът за поддръжка на DSA се събираше по подразбиране и позволяваше да се възстанови DSA чрез настройките. Забележително е, че алгоритъмът DSA е единственият задължителен за изпълнение в протокола SSHv2. Такова изискване беше добавено, защото по време на създаването и одобрението на протокола SSHv2 всички алтернативни алгоритми бяха под действие на патенти. Оттогава ситуацията се е променила, патентите, свързани с RSA, бяха прекратени, добавен е алгоритъмът ECDSA, който значително надминава DSA по производителност и сигурност, както и EdDSA, който е по-сигурен и по-бърз от ECDSA.
Единственият фактор за продължаване на поддръжката на DSA оставаше запазването на съвместимостта със стари устройства. В текущата обстановка разходите за продължаване на поддръжката на небезопасния алгоритъм DSA не са оправдани и неговото премахване ще ускори спирането на поддръжката на DSA в други реализации на SSH и криптографски библиотеки.
Кроме изменений, связанных с DSA, в новом выпуске предложен новый тип таймаутов в ssh и sshd, включаемый через указания значения «global» в директиве ChannelTimeout. В новом режиме OpenSSH отслеживает все открытые каналы и закрывает их разом, если во всех из них за указанный промежуток времени отсутствовал трафик. Например, когда к хосту одновременно открыты каналы для SSH-сеанса и перенаправления x11, новый режим позволяет закрыть сразу оба канала, если они неактивны, вместо раздельного отслеживания таймаутов для каждого канала. Из изменений также отмечается значительное улучшение тестирования совместимости с проектом PuTTY.
Източник: opennet.ru
