OpenSSH 9.7 har slÀppts, en öppen implementering av klient och server för arbete med protokollen SSH 2.0 och SFTP. I den föreslagna versionen har förÀndringar pÄbörjats som föregÄr det kommande avskaffandet av stöd för nycklar baserade pÄ DSA-algoritmen. OpenSSH 9.7 tillhandahÄller en option för att avaktivera DSA vid kompilering, men standardbygget behÄller fortfarande stöd för DSA. I nÀsta version, som Àr planerad till juni, kommer byggrutinen att Àndras till att avaktivera DSA som standard, och i början av 2025 kommer implementeringen av DSA att tas bort frÄn koden.
Som standard avskaffades anvÀndningen av DSA-nycklar redan 2015, men koden för att stödja DSA kompilerades fortfarande som standard och möjliggjorde att DSA kunde Äterinföras genom instÀllningar. Det Àr anmÀrkningsvÀrt att DSA-algoritmen Àr den enda som Àr obligatorisk att implementera i protokollet SSHv2. Ett sÄdant krav infördes eftersom alla alternativa algoritmer omfattades av patent nÀr protokollet SSHv2 skapades och godkÀndes. Sedan dess har situationen förÀndrats, de patent som rör RSA har upphört, ECDSA-algoritmen har lagts till, vilket övertrÀffar DSA avsevÀrt nÀr det gÀller prestanda och sÀkerhet, samt EdDSA, som Àr sÀkrare och snabbare Àn ECDSA.
Den enda faktorn för fortsatt stöd av DSA var att upprÀtthÄlla kompatibilitet med förÄldrad utrustning. I dagens lÀge motiverar kostnaderna för att fortsÀtta underhÄlla den osÀkra DSA-algoritmen sig inte, och dess borttagande kommer att stimulera ett avskaffande av DSA-stöd i andra SSH-implementationer och kryptografiska bibliotek.
Utöver förÀndringar relaterade till DSA erbjuds i den nya versionen en ny typ av timeout i ssh och sshd, som aktiveras genom att ange vÀrdet "global" i direktivet ChannelTimeout. I det nya lÀget övervakar OpenSSH alla öppna kanaler och stÀnger dem samtidigt om det under angiven tidsperiod inte har funnits trafik i nÄgon av dem. Till exempel, nÀr det finns öppna kanaler för SSH-session och X11-omdirigering pÄ en vÀrd, gör det nya lÀget att bÄda kanalerna kan stÀngas samtidigt om de Àr inaktiva, istÀllet för att spÄra timeout separat för varje kanal. Bland Àndringarna mÀrkts Àven en betydande förbÀttring av kompatibilitetstestningen med PuTTY-projektet.
KĂ€lla: opennet.ru
