OpenSSH 9.7 väljaanne

Avatud OpenSSH 9.7 versioon, avatud kliendi ja serveri rakendus SSH 2.0 ja SFTP protokollide jaoks. Käesolevas versioonis on alustatud muudatuste tegemist, mis eelnevad tulevase DSA-algoritmil põhinevate võtmete toe lõpetamisele. OpenSSH 9.7 pakub võimalust DSA ära keelata kompileerimise etapis, kuid vaikimisi on DSA toe säilitamine endiselt aktiivne. Järgmist versiooni, mis on planeeritud juuniks, muudetakse vaikimisi nii, et DSA toe ei ole, ning 2025. aasta alguses eemaldatakse DSA teostus koodibaasist.

DSA võtmete kasutamine lõpetati vaikimisi juba 2015. aastal, kuid DSA toe kood koondati vaikimisi ja võimaldas DSA tagasitoomist seadete kaudu. Tõeliselt huvitav on see, et DSA algoritm on ainus kohustuslikuks realiseerimiseks SSHv2 protokollis. Selline nõue lisati, kuna SSHv2 protokolli loomise ja kinnitamise ajal langesid kõik alternatiivsed algoritmid patentide alla. Alates sellest ajast on olukord muutunud, RSA-iga seotud patendid on lõppenud, lisatud on ECDSA algoritm, mis ületab DSA-d jõudluse ja turvalisuse osas, ning samuti EdDSA, mis on ECDSA-st turvalisem ja kiirem.

Ainus põhjus DSA toe jätkumiseks oli vanade seadmete ühilduvuse säilitamine. Tänapäeva oludes ei õigusta DSA ebausaldusväärse algoritmi jätkuva toe kulud enda osas ning selle eemaldamine aitab soosida DSA toe lõpetamist teiste SSH rakenduste ja krüptograafiliste raamatukogude seas.

DSA-ga seotud muudatuste kõrval on uues väljaandes pakutud uusi ajastamisvorme ssh ja sshd jaoks, mis on sisse lülitatud, määrates ChannelTimeout direktiivi väärtuseks „global“. Uues režiimis jälgib OpenSSH kõiki avatud kanaleid ja sulgeb need kõik korraga, kui kõigis neist pole antud aja jooksul liiklust. Näiteks kui hostile on samaaegselt avatud SSH-seansi ja x11 ümbersuunamise kanalid, võimaldab uus režiim sulgeda mõlemad kanalid korraga, kui need on passiivsed, selle asemel et jälgida iga kanali ajastust eraldi. Muudatustena on märgitud ka märkimisväärne paranemine ühilduvustestimise osas PuTTY projektiga.

Allikas: opennet.ru