OpenSSH 10: Adiós a DSA y bienvenida al Cifrado Postcuántico

Desde su nacimiento en 1999 como parte del proyecto OpenBSD, OpenSSH se ha consolidado como una de las herramientas más confiables y utilizadas del mundo para comunicaciones cifradas seguras a través del protocolo SSH.

Con más de dos décadas de desarrollo, esta suite de código abierto no solo ha facilitado conexiones remotas, sino también transferencia segura de archivos mediante SFTP y SCP. Ahora, con la llegada de OpenSSH 10, el proyecto alcanza una nueva etapa marcada por importantes cambios estructurales y avances en seguridad.

📉 El fin de una era: despedida definitiva al algoritmo DSA

Uno de los cambios más trascendentales de esta versión es la eliminación total del soporte para el algoritmo de firma DSA (Digital Signature Algorithm). Aunque este proceso de desaprobación comenzó hace varios años, OpenSSH 10 marca su retiro oficial, reflejando el compromiso del proyecto con el uso de algoritmos criptográficos robustos y actuales.

Asimismo, se desactiva por defecto el intercambio de claves basado en Diffie-Hellman, una técnica que, aunque histórica, se considera hoy menos eficiente en comparación con alternativas como ECDH (Elliptic Curve Diffie-Hellman), que ha sido el método predeterminado durante más de una década.

🧠 Reestructuración interna: mayor seguridad antes de autenticarse

En esta nueva versión, el servidor SSH ha sido rediseñado. Ahora, la fase de autenticación del usuario se ejecuta en un binario independiente llamado sshd-auth, lo cual reduce la superficie de ataque antes de verificar las credenciales y libera memoria una vez superada esa etapa crítica. Este enfoque modular mejora la seguridad y estabilidad del servidor.

🌐 Innovación en seguridad: el futuro es postcuántico

Sin duda, una de las incorporaciones más revolucionarias es el nuevo algoritmo híbrido postcuántico para el intercambio de claves: mlkem768x25519-sha256. Esta implementación combina la resistencia a ataques futuros por parte de ordenadores cuánticos con un rendimiento competitivo en la actualidad. OpenSSH se adelanta así a los desafíos criptográficos que plantea la era postcuántica.

Además, se ha reordenado la preferencia de cifrados, priorizando AES-GCM sobre AES-CTR, una elección más segura y eficiente.

⚙️ Más control en la configuración y mejor experiencia del usuario

Otra mejora destacada es la posibilidad de realizar coincidencias condicionales en la configuración (ssh_config y sshd_config) según:

• La versión de OpenSSH
• El tipo de sesión solicitada
• El comando remoto ejecutado

Estas funcionalidades ofrecen a administradores un control más granular sobre el comportamiento del servicio.

Además:

• SCP y SFTP desactivan la creación automática de sesiones si ControlMaster está activado, evitando efectos secundarios inesperados.
• Soporte mejorado para tokens FIDO
• Mejoras en ssh-agent
• Compatibilidad con sockets estilo systemd en sistemas compatibles

💡 Compatibilidad extendida y correcciones generales

OpenSSH 10 amplía su compatibilidad con bibliotecas modernas como AWS-LC (una alternativa ligera a OpenSSL impulsada por Amazon), al tiempo que mantiene soporte para entornos antiguos. Como es habitual, también se han corregido múltiples errores, vulnerabilidades menores y problemas en herramientas clave como ssh, sshd, sftp y ssh-keygen.

📌 Conclusión: una evolución significativa y necesaria

OpenSSH 10 no es solo un número redondo en su historial de versiones; es una actualización fundamental que reafirma el liderazgo del proyecto en el terreno de la seguridad de comunicaciones. Al decir adiós a tecnologías obsoletas como DSA y apostar por algoritmos postcuánticos, OpenSSH se posiciona como una herramienta preparada para los retos del futuro.

🔗 Más detalles y novedades están disponibles en las notas oficiales de lanzamiento.