Opublikowano wydanie OpenSSH 9.7, otwartej implementacji klienta i serwera do pracy z protokołami SSH 2.0 i SFTP. W oferowanej wersji rozpoczęto wprowadzanie zmian, które poprzedzają przyszłe wycofanie wsparcia dla kluczy opartych na algorytmie DSA. W OpenSSH 9.7 dodano opcję wyłączenia DSA na etapie kompilacji, ale domyślna kompilacja nadal zachowuje wsparcie dla DSA. W następnym wydaniu, planowanym na czerwiec, tryb budowy zostanie zmieniony na domyślne wyłączenie DSA, a na początku 2025 roku implementacja DSA zostanie usunięta z kodu.
Domyślnie wsparcie dla kluczy DSA zakończono już w 2015 roku, ale kod wsparcia dla DSA był kompilowany domyślnie, co pozwalało na jego ponowne włączenie poprzez ustawienia. Godne uwagi jest to, że algorytm DSA jest jedynym obowiązkowym do zaimplementowania w protokole SSHv2. Taki wymóg został dodany, ponieważ podczas tworzenia i zatwierdzania protokołu SSHv2 wszystkie alternatywne algorytmy podlegały patentom. Od tego czasu sytuacja uległa zmianie, patenty związane z RSA wygasły, dodano algorytm ECDSA, który znacznie przewyższa DSA pod względem wydajności i bezpieczeństwa, a także EdDSA, który jest bezpieczniejszy i szybszy od ECDSA.
Jedynym czynnikiem kontynuacji wsparcia dla DSA była chęć zachowania kompatybilności z przestarzałymi urządzeniami. W obecnych warunkach koszty utrzymania niebezpiecznego algorytmu DSA nie są uzasadnione, a jego usunięcie pozwoli stymulować zakończenie wsparcia dla DSA w innych implementacjach SSH i bibliotekach kryptograficznych.
Oprócz zmian związanych z DSA, w nowym wydaniu wprowadzono nowy typ timeoutów w ssh i sshd, aktywowany poprzez podanie wartości „global” w dyrektywie ChannelTimeout. W nowym trybie OpenSSH monitoruje wszystkie otwarte kanały i zamyka je jednocześnie, jeśli przez określony czas żaden z nich nie generował ruchu. Na przykład, gdy do hosta jednocześnie są otwarte kanały dla sesji SSH i przekierowania x11, nowy tryb pozwala zamknąć oba kanały, jeśli są nieaktywne, zamiast osobno monitorować timeouty dla każdego kanału. Zmiany obejmują również znaczne poprawienie testowania kompatybilności z projektem PuTTY.
Źródło: opennet.ru
