È stato rilasciato OpenSSH 9.7, un'implementazione open source di client e server per il funzionamento tramite i protocolli SSH 2.0 e SFTP. Nella versione proposta sono iniziate le modifiche preconizzate per la futura cessazione del supporto per le chiavi basate sull'algoritmo DSA. In OpenSSH 9.7 è disponibile un'opzione per disabilitare DSA in fase di compilazione, ma la compilazione predefinita con supporto DSA rimane per ora. Nella prossima versione, prevista per giugno, la modalità di compilazione sarà cambiata in disabilitazione DSA per impostazione predefinita, e all'inizio del 2025 l'implementazione DSA sarà rimossa dalla base di codice.
Di default, l'uso delle chiavi DSA è stato interrotto nel 2015, ma il codice per il supporto DSA è stato comunque compilato per impostazione predefinita, consentendo di riattivare DSA tramite configurazioni. È notevole che l'algoritmo DSA sia l'unico obbligatorio da implementare nel protocollo SSHv2. Questo requisito è stato aggiunto poiché al momento della creazione e approvazione del protocollo SSHv2 tutti gli algoritmi alternativi erano soggetti a brevetti. Da allora la situazione è cambiata, i brevetti legati a RSA sono scaduti, è stato aggiunto l'algoritmo ECDSA, che supera significativamente le prestazioni e la sicurezza del DSA, oltre a EdDSA, che è più sicuro e veloce dell'ECDSA.
L'unico fattore per la continuazione del supporto DSA è rimasto il mantenimento della compatibilità con dispositivi obsoleti. Nelle attuali realtà, i costi per continuare a supportare l'algoritmo DSA insicuro non sono giustificati, e la sua rimozione permetterà di incoraggiare la cessazione del supporto DSA in altre implementazioni di SSH e librerie crittografiche.
Oltre alle modifiche relative a DSA, nel nuovo rilascio è stato proposto un nuovo tipo di timeout in ssh e sshd, attivabile specificando il valore 'global' nella direttiva ChannelTimeout. Nel nuovo regime, OpenSSH tiene traccia di tutti i canali aperti e li chiude tutti insieme se in tutti c'è stata assenza di traffico per il periodo di tempo specificato. Ad esempio, quando ci sono canali aperti per una sessione SSH e per il reindirizzamento x11, la nuova modalità consente di chiudere entrambi i canali se sono inattivi, anziché monitorare separatamente i timeout per ciascun canale. Tra le modifiche, si segnala anche un significativo miglioramento nei test di compatibilità con il progetto PuTTY.
Fonte: opennet.ru
