Релиз на OpenSSH 9.7

Издаден е релиз OpenSSH 9.7, отворена реализация на клиент и сървър за работа с протоколите SSH 2.0 и SFTP. В предложената версия са направени изменения, предхождащи бъдещото прекратяване на поддръжката на ключовете на базата на алгоритъма DSA. В OpenSSH 9.7 е предоставена опция за деактивиране на DSA по време на компилация, но сборката по подразбиране все още запазва поддръжката на DSA. В следващото издание, планирано за юни, режимът на компилация ще бъде променен на деактивиране на DSA по подразбиране, а в началото на 2025 г. реализацията на DSA ще бъде премахната от кодовата база.

По подразбиране употребата на DSA ключове беше прекратена още през 2015 г., но кодът за поддръжка на DSA се компилира по подразбиране и позволяваше върнато използване на DSA чрез настройки. Интересно е, че алгоритъмът DSA е единственият задължителен за реализация в протокола SSHv2. Такова изискване беше добавено, защото по време на създаването и одобрението на протокола SSHv2 всички алтернативни алгоритми бяха засегнати от патенти. Оттогава ситуацията се промени, патентите, свързани с RSA, изтекоха, добавен е алгоритъмът ECDSA, който значително надминава DSA по производителност и сигурност, а също така и EdDSA, който е по-сигурен и по-бърз от ECDSA.

Единственият фактор за продължаване на поддръжката на DSA остава запазването на съвместимост с остарели устройства. В сегашните реалности разходите за продължаване на поддръжката на небезопасния алгоритъм DSA не са оправдани и неговото премахване ще стимулира прекратяването на поддръжката на DSA в други реализации на SSH и криптографски библиотеки.

Освен измененията, свързани с DSA, в новото издание е предложен нов тип таймаутове в ssh и sshd, активиран чрез задаване на стойността "global" в директивата ChannelTimeout. В новия режим OpenSSH следи всички отворени канали и ги затваря наведнъж, ако в тях отсъства трафик за зададения период от време. Например, когато към хоста са едновременно отворени канали за SSH сесия и пренасочване x11, новият режим позволява затваряне на двата канала, ако те не са активни, вместо да се следят таймаутите за всеки канал поотделно. От измененията също така е отбелязано значително подобрение в тестовете за съвместимост с проекта PuTTY.

Източник: opennet.ru