La version d'OpenSSH 9.7 a été publiée, une implémentation ouverte d'un client et d'un serveur pour travailler avec les protocoles SSH 2.0 et SFTP. La version proposée a commencé à apporter des modifications pour anticiper la future dépréciation des clés basées sur DSA. OpenSSH 9.7 fournit une option pour désactiver DSA au moment de la compilation, mais la version par défaut avec prise en charge de DSA est conservée pour le moment. Dans la prochaine version, prévue pour juin, le mode de construction sera modifié pour désactiver DSA par défaut, et l'implémentation de DSA sera supprimée de la base de code début 2025.
Par défaut, l'utilisation des clés DSA a été interrompue en 2015, mais le code pour prendre en charge DSA a été construit par défaut et a permis de renvoyer DSA via les paramÚtres. Il est à noter que l'algorithme DSA est le seul requis pour l'implémentation dans le protocole SSHv2. Cette exigence a été ajoutée car au moment de la création et de l'approbation du protocole SSHv2, tous les algorithmes alternatifs étaient soumis à des brevets. Depuis lors, la situation a changé, les brevets associés à RSA ont expiré, l'algorithme ECDSA a été ajouté, qui est nettement supérieur au DSA en termes de performances et de sécurité, ainsi qu'EdDSA, qui est plus sûr et plus rapide que l'ECDSA.
Le seul facteur permettant de maintenir la prise en charge de DSA Ă©tait le maintien de la compatibilitĂ© avec les appareils existants. Dans la rĂ©alitĂ© actuelle, les coĂ»ts liĂ©s au maintien de lâalgorithme DSA non sĂ©curisĂ© nâen valent pas la peine, et sa suppression encouragera la dĂ©prĂ©ciation de la prise en charge de DSA dans dâautres implĂ©mentations SSH et bibliothĂšques cryptographiques.
En plus des changements liĂ©s Ă DSA, la nouvelle version propose un nouveau type de dĂ©lais d'attente dans ssh et sshd, activĂ© en spĂ©cifiant la valeur « global » dans la directive ChannelTimeout. Dans le nouveau mode, OpenSSH surveille tous les canaux ouverts et les ferme immĂ©diatement s'il n'y a aucun trafic sur chacun d'eux pendant une pĂ©riode de temps spĂ©cifiĂ©e. Par exemple, lorsque les canaux de session SSH et de redirection x11 sont ouverts simultanĂ©ment sur un hĂŽte, le nouveau mode permet de fermer les deux canaux en mĂȘme temps s'ils sont inactifs, au lieu de suivre sĂ©parĂ©ment les dĂ©lais d'attente pour chaque canal. Parmi les changements, on note Ă©galement une amĂ©lioration significative des tests de compatibilitĂ© avec le projet PuTTY.
Source: opennet.ru
