Vydanie OpenSSH 9.7

Bol vydaný OpenSSH 9.7, otvorená implementácia klienta a servera pre prácu s protokolmi SSH 2.0 a SFTP. V navrhnutej verzii sa začala implementácia zmien, ktoré predchádzajú budúcemu ukončeniu podpory kľúčov založených na algoritme DSA. V OpenSSH 9.7 je k dispozícii možnosť vypnúť DSA už počas kompilácie, no predvolené zostavenie stále podporuje DSA. V ďalšej verzii, plánovanej na jún, sa predvolené režimy kompilácie zmenia na vypnutie DSA, a na začiatku roka 2025 bude realizácia DSA odstránená z kódovej základne.

Používanie DSA kľúčov bolo predvolene ukončené ešte v roku 2015, no kód na podporu DSA sa predvolene kompiloval a umožnil obnoviť DSA prostredníctvom nastavení. Zaujímavé je, že algoritmus DSA je jediným povinným na implementáciu v protokole SSHv2. Toto požiadavku bolo pridané, pretože v čase vytvárania a schvaľovania protokolu SSHv2 všetky alternatívne algoritmy podliehali patentom. Odvtedy sa situácia zmenila, patenty súvisiace s RSA prestali platiť, bol pridaný algoritmus ECDSA, ktorý je výkonnejší a bezpečnejší ako DSA, a taktiež EdDSA, ktorý je bezpečnejší a rýchlejší ako ECDSA.

Jedným z hlavných dôvodov na pokračovanie podpory DSA bola zachovanie kompatibility so zastaranými zariadeniami. V súčasnosti sú náklady na pokračovanie podpory nebezpečného algoritmu DSA neudržateľné a jeho odstránenie podporí ukončenie jeho podpory v iných realizáciách SSH a kryptografických knižniciach.

Okrem zmien súvisiacich s DSA, nová verzia prináša nový typ časových limitov v ssh a sshd, zapínaný prostredníctvom určenia hodnoty „global“ v direktíve ChannelTimeout. V novom režime OpenSSH sleduje všetky otvorené kanály a zatvorí ich naraz, ak v nich nebolo zaslané žiadne dáta za určený časový interval. Napríklad, keď sú na hostiteľovi otvorené kanály pre SSH session a presmerovanie x11, nový režim umožňuje zatvorenie oboch kanálov, ak sú neaktívne, namiesto samostatného sledovania časových limitov pre každý kanál. Medzi zmenami je tiež významné zlepšenie kompatibility s projektom PuTTY.

Zdroj: opennet.ru