OpenSSH anunță planul de a elimina treptat cheile DSA

OpenSSH va dezactiva cheile DSA în mod implicit începând cu iunie 2024, iar eliminarea completă este programată pentru 2025.

Într-o mișcare menită să consolideze securitatea digitală, OpenSSH a anunțat planul de a renunța treptat la suportul pentru cheile DSA, o decizie bazată pe slăbiciunile inerente ale algoritmului și pe evoluția unor alternative mai sigure. Dar mai întâi, haideți să clarificăm ce este DSA pentru cititorii noștri.

DSA și limitările sale

DSA, care reprezintă Digital Signature Algorithm, este un algoritm criptografic pentru semnături digitale și autentificare și o componentă cheie în protocolul SSHv2. Totuși, limitările sale au fost recunoscute de mult timp, în special restricția sa la o cheie privată de 160 de biți și dependența de digestul SHA1.

Aceste constrângeri fac ca nivelul său de securitate să fie echivalent cu sau mai mic de 80 de biți în criptarea simetrică, un standard considerat insuficient în peisajul actual al securității cibernetice.

Deși este singurul algoritm obligatoriu de implementat în RFC-urile SSHv2, în principal din cauza restricțiilor de patent asupra algoritmilor alternativi atunci când SSHv2 a fost dezvoltat, DSA a rămas în urmă față de opțiuni mai robuste precum RSA, ECDSA și EdDSA în ceea ce privește securitatea și performanța.

Cronologia OpenSSH pentru eliminarea DSA

Desigur, acest lucru nu se va întâmpla peste noapte. În schimb, OpenSSH a conturat o abordare etapizată. Iată care este planul.

• Martie 2024 (Estimativ): DSA va deveni opțional la compilare, dar va fi activat implicit în următoarea versiune OpenSSH. Această modificare le permite utilizatorilor și distribuitorilor să evalueze impactul eliminării DSA în mediile lor specifice.
• Iunie 2024 (Estimativ): O versiune ulterioară va schimba setarea implicită la momentul compilării pentru a dezactiva DSA. Totuși, va rămâne o opțiune pentru cei care au nevoie de ea.
• După ianuarie 2025: Prima versiune după 1 ianuarie 2025 va include eliminarea completă a codului DSA din OpenSSH.

Pentru utilizatorii cu dispozitive care acceptă doar DSA, OpenSSH recomandă menținerea unei versiuni vechi a clientului OpenSSH, similar cu strategia adoptată atunci când a fost întreruptă suportul pentru protocolul SSHv1.

Discuțiile și întrebările suplimentare despre eliminarea DSA pot fi adresate listei de discuții a dezvoltatorilor OpenSSH sau contactând direct dezvoltatorii.