Megjelent az OpenSSH 9.7 verziója, amely az SSH 2.0 és SFTP protokollokhoz készült kliens és szerver nyílt forráskódú megvalósítása. Az új verzióban megkezdődtek a módosítások, amelyek a DSA algoritmuson alapuló kulcsok jövőbeli támogatásának megszüntetését előzik meg. Az OpenSSH 9.7-ben lehetőség van a DSA letiltására a fordítási folyamatban, de az alapértelmezett fordítás DSA támogatással maradt. A következő kiadásra, amely júnusban várható, az alapértelmezett fordítási módot úgy módosítják, hogy a DSA alapértelmezés szerint ki van kapcsolva, és 2025 elejére a DSA megvalósítást eltávolítják a kód bázisból.
Alapértelmezés szerint a DSA kulcsok használatát 2015-ben megszüntették, azonban a DSA támogatását alapértelmezetten támogató kód volt, amely lehetővé tette a DSA visszaállítását a beállításokon keresztül. Érdekes módon a DSA algoritmus az egyetlen kötelezően megvalósítandó algoritmus az SSHv2 protokollban. Ezt a követelményt azért vezették be, mert az SSHv2 protokoll létrehozása és jóváhagyása idején minden alternatív algoritmust szabadalmak védtek. Azóta a helyzet megváltozott, a RSA-val kapcsolatos szabadalmak megszűntek, bevezetésre került az ECDSA algoritmus, amely jelentősen megelőzi a DSA-t teljesítményben és biztonságban, valamint az EdDSA, amely biztonságosabb és gyorsabb, mint az ECDSA.
A DSA támogatásának fenntartására egyetlen indokként a régi eszközökkel való kompatibilitás megőrzése maradt. A jelenlegi környezetben a DSA biztonságtalan algoritmusának fenntartásának költségei nem indokoltak, és annak eltávolítása ösztönözni fogja a DSA támogatásának megszüntetését más SSH megvalósításokban és kriptográfiai könyvtárakban.
A DSA-val kapcsolatos változások mellett az új kiadásban egy új típusú timeout került bevezetésre az ssh és sshd esetében, amelyet a ChannelTimeout direktíva "global" értékével lehet aktiválni. Az új üzemmódban az OpenSSH nyomon követi az összes nyitott csatornát, és egyszerre zárja be őket, ha megadott időintervallumban egyikükben sem volt forgalom. Például, amikor egy hoszton egyszerre nyitott csatornák vannak SSH munkamenetek és x11 átirányítások számára, az új üzemmód lehetővé teszi, hogy egyszerre zárják be mindkét csatornát, ha azok inaktívak, ahelyett, hogy külön-külön követnék a timeoutokat minden csatornára. A változások között jelentős javulás történt a PuTTY projekttel való kompatibilitás tesztelésében is.
Forrás: opennet.ru
