De release van OpenSSH 9.7 is gepubliceerd, een open-source implementatie van de client en server voor werking via de SSH 2.0- en SFTP-protocollen. In deze versie zijn wijzigingen aangebracht ter voorbereiding op de toekomstige stopzetting van de ondersteuning voor sleutels op basis van het DSA-algoritme. OpenSSH 9.7 biedt de optie om DSA tijdens het compileren uit te schakelen, maar de standaardbuild behoudt voorlopig de ondersteuning voor DSA. In de volgende release, gepland voor juni, zal de standaardbouwmodus worden gewijzigd naar het standaard uitschakelen van DSA, en in begin 2025 zal de implementatie van DSA volledig uit de codebasis worden verwijderd.
Standaard is het gebruik van DSA-sleutels al in 2015 gestopt, maar de code voor de ondersteuning van DSA werd standaard samengesteld en maakte het mogelijk om DSA via instellingen te herstellen. Opmerkelijk is dat het DSA-algoritme de enige verplichte implementatie is in het SSHv2-protocol. Deze eis werd toegevoegd omdat tijdens de ontwikkeling en goedkeuring van het SSHv2-protocol alle alternatieve algoritmen onderhevig waren aan patenten. Sindsdien is de situatie veranderd; patenten met betrekking tot RSA zijn verlopen, het ECDSA-algoritme is toegevoegd, dat DSA op het gebied van prestaties en veiligheid aanzienlijk overtreft, evenals EdDSA, dat veiliger en sneller is dan ECDSA.
De enige reden voor het handhaven van de ondersteuning van DSA was de compatibiliteit met verouderde apparaten. In de huidige omstandigheden rechtvaardigen de kosten voor het blijven ondersteunen van het onveilige DSA-algoritme zich niet, en de verwijdering ervan zal andere SSH-implementaties en cryptografische bibliotheken aanmoedigen om ook de ondersteuning voor DSA te staken.
Naast de wijzigingen met betrekking tot DSA introduceert de nieuwe release een nieuw type time-out in ssh en sshd, dat wordt ingeschakeld door de waarde āglobalā op te geven in de ChannelTimeout-instructie. In deze nieuwe modus houdt OpenSSH alle open kanalen in de gaten en sluit ze allemaal tegelijk wanneer er gedurende een bepaalde tijd in geen van deze kanalen verkeer is. Bijvoorbeeld, wanneer er gelijktijdig kanalen voor een SSH-sessie en x11-omleiding open zijn naar de host, maakt de nieuwe modus het mogelijk om beide kanalen in Ć©Ć©n keer te sluiten wanneer ze inactief zijn, in plaats van aparte time-outs voor elk kanaal te volgen. Daarnaast zijn er significante verbeteringen in de compatibiliteitstest met het PuTTY-project.
Bron: opennet.ru
