Byl zveřejněn vydání OpenSSH 9.7, otevřené implementace klienta a serveru pro práci s protokoly SSH 2.0 a SFTP. V navrhované verzi začalo zavádění změn, které předcházejí budoucímu ukončení podpory klíčů na bázi DSA algoritmu. V OpenSSH 9.7 je k dispozici možnost vypnout DSA v průběhu kompilace, ale výchozí sestavení prozatím podporu DSA zachovává. V následujícím vydání, které je plánováno na červen, se režim sestavení změní tak, aby byla podpora DSA ve výchozím nastavení vypnuta, a na začátku roku 2025 bude implementace DSA odstraněna z kódové základny.
Ve výchozím nastavení bylo používání DSA klíčů ukončeno již v roce 2015, ale kód pro podporu DSA byl sestavován jako výchozí a umožňoval vrátit DSA prostřednictvím nastavení. Je pozoruhodné, že algoritmus DSA je jediným povinně implementovaným v protokolu SSHv2. Tento požadavek byl přidán, protože při vytváření a schvalování protokolu SSHv2 spadaly všechny alternativní algoritmy pod platnost patentů. Od té doby se situace změnila, patenty vztahující se k RSA vypršely, byl přidán algoritmus ECDSA, který výkonnostně a bezpečnostně výrazně předčí DSA, a také EdDSA, který je bezpečnější a rychlejší než ECDSA.
Jedním z důvodů pokračování podpory DSA byla snaha o zachování kompatibility se zastaralými zařízeními. V současné době náklady na pokračování podpory nebezpečného algoritmu DSA neospravedlňují jeho existenci a jeho odstranění podpoří ukončení podpory DSA v jiných implementacích SSH a kryptografických knihovnách.
Kromě změn souvisejících s DSA byl v novém vydání navržen nový typ časového limitu v ssh a sshd, který se aktivuje pomocí nastavení hodnoty „global“ v direktivě ChannelTimeout. V novém režimu OpenSSH sleduje všechny otevřené kanály a zavře je najednou, pokud v nich během uvedeného času nebyl žádný provoz. Například když jsou k hostiteli současně otevřeny kanály pro SSH relaci a přesměrování x11, nový režim umožňuje zavřít oba kanály zároveň, pokud jsou neaktivní, místo samostatného sledování časových limitů každého kanálu. Změny také zahrnují významné zlepšení testování kompatibility s projektem PuTTY.
Zdroj: opennet.ru
