OpenSSH 10 rafforza ancora di più la crittografia

Dopo il rilascio di OpenSSL 3.5, gli sviluppatori OpenBSD hanno da poco reso disponibile OpenSSH 10, il quale apporta signifitcativi aggiornamenti alla crittografia e molte altre funzionalità correlate, come lo scambio chiavi post quantistiche, volti a rafforzare la sicurezza e modernizzare il codice.

OpenSSH 10: importanti migliorie alla crittografia e alle chiavi post quantistiche

Per cominciare, OpenSSH 10 si sbarazza definitivamente dell’algoritmo DSA, considerato debole. Disabilitato per impostazione predefinita già dal 2015, con avvisi ripetuti sulla sua dismissione, è ora stato completamente rimosso allo scopo di irrobustire la sicurezza. Altre importanti modifiche includono l’impostazione predefinita di “ControlMaster no” per scp e sftp, che impedisce la creazione implicita di sessioni SSH, in modo da offrire maggior controllo, seppur con più attenzione richiesta agli utenti che usano l’auto-multiplexing.

Chi passa a OpenSSH 10 della suite potrebbe inoltre confondere script o software che si basano su pattern di versioning come “OpenSSH_1*”. Gli amministratori sono di conseguenza invitati a verificare la compatibilità dei loro sistemi con questa nuova nomenclatura. Lato server, sshd ristruttura l’autenticazione utente, la quale è ora gestita da un binario separato, sshd-auth, migliorando la sicurezza con l’isolamento della fase pre-autenticazione.

Viene anche disabilitato per impostazione predefinita lo scambio di chiavi Diffie-Hellman a campi finiti (modp) in sshd, a favore di metodi basati su curve ellittiche (ECDH), più efficienti e sicuri. Tra le innovazioni spicca l’introduzione dell’algoritmo mlkem768x25519-sha256 per lo scambio di chiavi ibrido post-quantistico, ora predefinito, che protegge contro futuri attacchi quantistici senza sacrificare velocità o affidabilità.

OpenSSH 10 aggiorna anche le preferenze di cifratura, favorendo AES-GCM rispetto ad AES-CTR, pur mantenendo ChaCha20/Poly1305 al top. Nuove opzioni di configurazione, come l’espansione di variabili in ssh_config e regole Match più granulari, aumentano la flessibilità. Miglioramenti funzionali includono pattern-matching avanzati in sshd_config e un controllo ottimizzato dei token FIDO in ssh-agent.

Infine, la nuova versione di OpenSSH 10 include correzioni di bug, come una gestione migliore dei file di configurazione complessi e un fallback più robusto per Diffie-Hellman Group Exchange. Per approfondire è possibile consultare le note di rilascio.