Foi publicado o lançamento do OpenSSH 9.7, uma implementação aberta do cliente e servidor para trabalhar com os protocolos SSH 2.0 e SFTP. A versão proposta introduziu mudanças que antecedem a futura interrupção do suporte a chaves baseadas no algoritmo DSA. O OpenSSH 9.7 oferece a opção de desativar o DSA durante a compilação, mas a build padrão ainda mantém o suporte ao DSA. Na próxima versão, prevista para junho, o modo de construção será alterado para desativar o DSA por padrão, e no início de 2025, a implementação do DSA será removida da base de código.
Por padrão, o uso de chaves DSA foi encerrado em 2015, mas o código para suporte a DSA ainda era compilado por padrão e permitia reativar o DSA através de configurações. É notável que o algoritmo DSA é o único obrigatório na implementação do protocolo SSHv2. Essa exigência foi incluída porque, durante a criação e aprovação do protocolo SSHv2, todos os algoritmos alternativos estavam sob patentes. Desde então, a situação mudou, as patentes relacionadas ao RSA expiraram, foi adicionado o algoritmo ECDSA, que possui desempenho e segurança significativamente superiores ao DSA, além do EdDSA, que é mais seguro e rápido que o ECDSA.
O único fator que mantinha o suporte ao DSA era a preservação da compatibilidade com dispositivos legados. Nas condições atuais, os custos de continuar a manutenção do algoritmo DSA inseguro não se justificam, e sua remoção permitirá incentivar o fim do suporte ao DSA em outras implementações de SSH e bibliotecas criptográficas.
Além das mudanças relacionadas ao DSA, a nova versão introduziu um novo tipo de timeouts no ssh e sshd, que pode ser ativado através da especificação do valor "global" na diretiva ChannelTimeout. No novo modo, o OpenSSH monitora todos os canais abertos e os fecha simultaneamente se não houver tráfego em todos eles durante um intervalo de tempo especificado. Por exemplo, quando canais para uma sessão SSH e redirecionamento x11 estão abertos simultaneamente, o novo modo permite fechar ambos os canais se estiverem inativos, em vez de rastrear os timeouts separadamente para cada canal. Também houve uma melhoria significativa nos testes de compatibilidade com o projeto PuTTY.
Fonte: opennet.ru
