OpenSSH 9.7 er blevet offentliggjort, en open source-implementation af klient og server til brug med protokollerne SSH 2.0 og SFTP. I den foreslåede version er der påbegyndt ændringer, der går forud for den fremtidige ophævelse af understøttelsen af nøgler baseret på DSA-algoritmen. I OpenSSH 9.7 er der tilføjet en mulighed for at deaktivere DSA ved kompilering, men standardbygningen bevarer stadig DSA-understøttelsen. I næste udgave, der er planlagt til juni, vil byggeindstillingerne ændres til at deaktivere DSA som standard, og i begyndelsen af 2025 vil DSA-implementeringen blive fjernet fra kodebasen.
Som standard blev brugen af DSA-nøgler stoppet allerede i 2015, men koden til DSA-understøttelse blev stadig inkluderet som standard og tillod genaktivering af DSA via indstillinger. Det er bemærkelsesværdigt, at DSA-algoritmen er den eneste, der er obligatorisk at implementere i SSHv2-protokollen. Dette krav blev tilføjet, da alle alternative algoritmer var underlagt patenter på tidspunktet for oprettelsen og godkendelsen af SSHv2-protokollen. Siden da har situationen ændret sig, patenterne relateret til RSA er udløbet, og algoritmen ECDSA, som er betydeligt mere effektiv og sikker end DSA, er blevet tilføjet, ligesom EdDSA, som er mere sikker og hurtigere end ECDSA.
Den eneste faktor for fortsat understøttelse af DSA har været bevarelsen af kompatibilitet med forældede enheder. I den nuværende situation retfærdiggør omkostningerne ved fortsat vedligeholdelse af den usikre DSA-algoritme ikke sig selv, og dens fjernelse vil fremme ophævelsen af DSA-understøttelsen i andre SSH-implementationer og kryptografiske biblioteker.
Udover ændringerne relateret til DSA, er der i den nye udgave introduceret en ny type timeouts i ssh og sshd, som aktiveres ved at angive værdien "global" i ChannelTimeout-direktivet. I den nye tilstand overvåger OpenSSH alle åbne kanaler og lukker dem samtidig, hvis der i dem alle har været mangel på trafik i den angivne periode. For eksempel, når der er åbnet kanaler til SSH-sessionen og X11-omdirigering på værten samtidig, tillader den nye tilstand at lukke begge kanaler, hvis de er inaktive, i stedet for at overvåge timeouts separat for hver kanal. Der er også betydelige forbedringer i testningen af kompatibilitet med PuTTY-projektet.
Kilde: opennet.ru
