Se ha publicado la versión OpenSSH 9.7, una implementación abierta de cliente y servidor para trabajar con los protocolos SSH 2.0 y SFTP. En esta versión se han iniciado los cambios que preceden a la futura eliminación del soporte para claves basadas en el algoritmo DSA. OpenSSH 9.7 incluye una opción para deshabilitar DSA en la etapa de compilación, pero la compilación por defecto aún mantiene el soporte para DSA. En la próxima versión, programada para junio, el modo de compilación cambiará a desactivar DSA por defecto, y a principios de 2025 se eliminará la implementación de DSA de la base de código.
Por defecto, el uso de claves DSA se detuvo en 2015, pero el código para soportar DSA se compilaba por defecto y permitía restaurar DSA mediante configuraciones. Cabe destacar que el algoritmo DSA es el único obligatorio en la implementación del protocolo SSHv2. Este requisito se añadió porque, en el momento de crear y aprobar el protocolo SSHv2, todos los algoritmos alternativos estaban sujetos a patentes. Desde entonces, la situación ha cambiado, se han extinguido las patentes relacionadas con RSA, se ha añadido el algoritmo ECDSA, que supera significativamente a DSA en rendimiento y seguridad, así como EdDSA, que es más seguro y rápido que ECDSA.
El único factor que mantenía el soporte para DSA era la compatibilidad con dispositivos obsoletos. En la actualidad, los costos de mantenimiento de un algoritmo inseguro como DSA no se justifican, y su eliminación permitirá fomentar la discontinuación del soporte para DSA en otras implementaciones de SSH y bibliotecas criptográficas.
Además de los cambios relacionados con DSA, la nueva versión introduce un nuevo tipo de tiempos de espera en ssh y sshd, que se activa mediante el valor "global" en la directiva ChannelTimeout. En este nuevo modo, OpenSSH supervisa todos los canales abiertos y los cierra simultáneamente si no hay tráfico en ninguno de ellos durante un período de tiempo especificado. Por ejemplo, cuando hay canales abiertos simultáneamente para una sesión SSH y el redireccionamiento x11, el nuevo modo permite cerrar ambos canales si están inactivos, en lugar de rastrear los tiempos de espera de cada canal por separado. También se destaca una mejora significativa en las pruebas de compatibilidad con el proyecto PuTTY.
Fuente: opennet.ru
