Проект OpenSSH опубликовал план прекращения поддержки DSA
Дата публикации:Fri, 12 Jan 2024 12:11:53 +0300
Разработчики проекта OpenSSH представили план прекращения поддержки ключей на базе алгоритма DSA. По современным меркам DSA-ключи не обеспечивают должного уровня защиты, так как используют размер закрытого ключа всего в 160 бит и хэш SHA1, что по уровню безопасности соответствует примерно 80 разрядному симметричному ключу.
По умолчанию использование ключей DSA прекращено в 2015 году, но поддержка DSA оставлена в качестве опции, так как данный алгоритм является единственным обязательным к реализации в протоколе SSHv2. Подобное требование было добавлено так как во время создания и утверждения протокола SSHv2 все альтернативные алгоритмы подпадали под действие патентов. С тех пор ситуация изменилась, прекратили действие патенты, связанные с RSA, добавлен алгоритм ECDSA, значительно опережающий DSA по производительности и безопасности, а также EdDSA, который безопаснее и быстрее ECDSA. Единственным фактором продолжения поддержки DSA оставалось сохранение совместимости с устаревшими устройствами.
Оценив ситуацию в нынешних реалиях разработчики OpenSSH пришли к выводу, что затраты на продолжение сопровождения небезопасного алгоритма DSA не оправдывают себя и его удаление позволит стимулировать прекращение поддержки DSA в других реализациях SSH и криптографических библиотеках. В намеченном на апрель выпуске OpenSSH планируется сохранить сборку с DSA, но предоставить возможность отключения DSA на стадии компиляции. В июньском выпуске OpenSSH по умолчанию DSA будет отключён при сборке, а в начале 2025 года реализация DSA будет удалена из кодовой базы.
Пользователи, которым необходима поддержка DSA на стороне клиента, смогут использоваться альтернативные сборки прошлых веток OpenSSH, например, поставляемый в Debian пакет "openssh-client-ssh1", собранный на базе OpenSSH 7.5 и предназначенный для подключения к SSH-серверам с использованием протокола SSHv1, поддержка которого была прекращена в OpenSSH 7.6 шесть лет назад.
Новость позаимствована с opennet.ru
Ссылка на оригинал: https://www.opennet.ru/opennews/art.shtml?num=60426