A fost publicată lansarea OpenSSH 9.7, o implementare deschisă a clientului și serverului pentru lucrul cu protocoalele SSH 2.0 și SFTP. În versiunea propusă, s-au început modificările care preced încetării viitoare a suportului pentru cheile bazate pe algoritmul DSA. OpenSSH 9.7 oferă o opțiune pentru dezactivarea DSA în timpul compilării, dar construcția implicită cu suport pentru DSA este păstrată deocamdată. În următoarea lansare, programată pentru luna iunie, modul de construcție va fi schimbat pentru a dezactiva DSA implicit, iar la începutul anului 2025 implementarea DSA va fi eliminată din baza de cod.
Prin definiție, utilizarea cheilor DSA a fost întreruptă în 2015, dar codul de suport pentru DSA a fost compilat implicit și a permis restabilirea DSA prin configurații. Este notabil că algoritmul DSA este singurul obligatoriu de implementat în protocolul SSHv2. Această cerință a fost adăugată deoarece, în timpul creării și aprobării protocolului SSHv2, toate algoritmii alternativi erau supuși brevetelor. De atunci, situația s-a schimbat, brevetele legate de RSA au expirat, a fost adăugat algoritmul ECDSA, care depășește semnificativ DSA în ceea ce privește performanța și securitatea, precum și EdDSA, care este mai sigur și mai rapid decât ECDSA.
Singurul factor care a continuat să susțină DSA a fost menținerea compatibilității cu dispozitivele învechite. În realitățile actuale, costurile de continuare a suportului pentru algoritmul nesigur DSA nu se justifică și eliminarea sa va stimula încetarea suportului pentru DSA în alte implementări SSH și biblioteci criptografice.
Pe lângă modificările legate de DSA, în noua versiune a fost propus un nou tip de timeout în ssh și sshd, activat prin specificarea valorii „global” în directiva ChannelTimeout. În noul mod, OpenSSH urmărește toate canalele deschise și le închide simultan, dacă în toate nu a existat trafic în intervalul de timp specificat. De exemplu, când la gazdă sunt deschise simultan canale pentru sesiuni SSH și redirecționarea x11, noul mod permite închiderea imediată a ambelor canale, dacă acestea sunt inactive, în locul urmăririi separate a timeout-urilor pentru fiecare canal. De asemenea, s-au observat îmbunătățiri semnificative în testarea compatibilității cu proiectul PuTTY.
Sursa: opennet.ro
