Utgivelsen av OpenSSH 9.7

Utgivelsen av OpenSSH 9.7 er publisert, den åpne implementeringen av klient og server for bruk med SSH 2.0 og SFTP-protokollene. I denne versjonen har det blitt gjort endringer som forbereder en fremtidig avvikling av støtten for DSA-nøkkelbaserte algoritmer. OpenSSH 9.7 gir muligheten til å deaktivere DSA under kompilering, men standardbygget beholder fortsatt støtte for DSA. I neste utgave, planlagt til juni, vil standardbyggemodus endres til å deaktivere DSA, og i begynnelsen av 2025 vil DSA-implementeringen bli fjernet fra kodebasen.

Bruken av DSA-nøkler ble som standard avviklet allerede i 2015, men koden for å støtte DSA løp med i standardbygget og tillot å gjenopprette DSA via innstillinger. Det er bemerkelsesverdig at DSA-algoritmen er den eneste som er obligatorisk i protokollen SSHv2. Denne forpliktelsen ble lagt til ettersom alle alternative algoritmer var underlagt patenter da protokollen SSHv2 ble opprettet og vedtatt. Siden den gang har situasjonen endret seg, og patenter knyttet til RSA har utløpt, algoritmen ECDSA har blitt lagt til, som er betydelig mer effektiv og sikker enn DSA, samt EdDSA, som er sikrere og raskere enn ECDSA.

Den eneste faktoren for å opprettholde støtten for DSA har vært behovet for å bevare kompatibilitet med utdaterte enheter. I dagens situasjon rettferdiggjør ikke kostnadene for å fortsette støtte for den usikre DSA-algoritmen seg, og dens fjerning vil stimulere til å avslutte støtten for DSA i andre SSH-implementasjoner og kryptografiske biblioteker.

I tillegg til endringene relatert til DSA, har den nye utgaven introdusert en ny type timeout i ssh og sshd, som aktiveres ved å angi verdien «global» i ChannelTimeout-direktivet. I den nye modusen overvåker OpenSSH alle åpne kanaler og stenger dem samtidig hvis det ikke har vært trafikk i dem alle i løpet av den angitte tidsperioden. For eksempel, når det samtidig er åpnet kanaler til en verts for SSH-økt og x11-omdirigering, må den nye modusen stenge begge kanalene umiddelbart hvis de er inaktive, i stedet for å spore timeouter for hver kanal separat. Blandt endringene nevnes også betydelige forbedringer i kompatibilitetstestene med prosjektet PuTTY.

Kilde: opennet.ru