Die Veröffentlichung von OpenSSH 9.7, einer offenen Implementierung des Clients und Servers für die Protokolle SSH 2.0 und SFTP, wurde bekannt gegeben. In dieser Version wurden Änderungen eingeführt, die dem zukünftigen Ende der Unterstützung für DSA-basierten Algorithmen vorausgehen. In OpenSSH 9.7 gibt es eine Option, um DSA während der Kompilierung zu deaktivieren, aber die Standard-Build-Konfiguration unterstützt DSA nach wie vor. Im nächsten Release, das für Juni geplant ist, wird der Build-Modus standardmäßig auf Deaktivierung von DSA umgestellt, und zu Beginn des Jahres 2025 wird die DSA-Implementierung aus dem Code entfernt.
Die Verwendung von DSA-Schlüsseln wurde standardmäßig bereits 2015 eingestellt, jedoch wurde der Code zur Unterstützung von DSA weiterhin standardmäßig kompiliert, wodurch DSA über die Einstellungen wieder aktiviert werden konnte. Bemerkenswerterweise ist der DSA-Algorithmus der einzige, der im SSHv2-Protokoll zwingend implementiert werden muss. Diese Anforderung wurde hinzugefügt, da zum Zeitpunkt der Erstellung und Genehmigung des SSHv2-Protokolls alle alternativen Algorithmen patentrechtlich geschützt waren. Seitdem hat sich die Situation geändert, die Patente im Zusammenhang mit RSA sind abgelaufen, der ECDSA-Algorithmus wurde hinzugefügt, der DSA bei Leistung und Sicherheit erheblich überlegen ist, sowie EdDSA, der sicherer und schneller als ECDSA ist.
Der einzige Faktor für die Fortsetzung der Unterstützung von DSA war die Wahrung der Kompatibilität mit veralteten Geräten. In der gegenwärtigen Realität rechtfertigen die Kosten für die Fortsetzung der Unterstützung des unsicheren DSA-Algorithmus die Mühen nicht, und seine Entfernung wird andere Implementierungen von SSH und kryptografische Bibliotheken dazu anregen, die Unterstützung für DSA einzustellen.
Neben den DSA-Änderungen wird in der neuen Version ein neuer Timeout-Typ in ssh und sshd angeboten, der durch die Angabe des Wertes "global" in der ChannelTimeout-Direktive aktiviert wird. Im neuen Modus verfolgt OpenSSH alle offenen Kanäle und schließt sie gleichzeitig, wenn in allen für einen festgelegten Zeitraum kein Verkehr vorhanden war. Beispielsweise ermöglicht der neue Modus das Schließen beider Kanäle, wenn sie nicht aktiv sind, anstatt die Timeouts für jeden Kanal separat zu überwachen, wenn sowohl für die SSH-Sitzung als auch für die X11-Umleitung Kanäle zu einem Host gleichzeitig geöffnet sind. Ebenfalls zu nennen ist die signifikante Verbesserung der Kompatibilitätstests mit dem PuTTY-Projekt.
Quelle: opennet.ru
