Η νέα στρατηγική απέναντι στις ευπάθειες AI
Η ομάδα του OpenSSH αναγνωρίζει την αυξανόμενη επίδραση των μοντέλων τεχνητής νοημοσύνης στην ανακάλυψη ευπαθειών. Παρατηρώντας ότι ευρήματα από AI εργαλεία συχνά ανακαλύπτονται ανεξάρτητα από κακόβουλους δρώντες, η ομάδα μεταβαίνει σε ένα μοντέλο συχνότερων κυκλοφοριών (frequent releases). Στόχος είναι η μείωση του χρόνου απόκρισης και η άμεση διάθεση των patches στους χρήστες, αποφεύγοντας τη συγκέντρωση διορθώσεων σε προγραμματισμένα releases.
Ασφάλεια και κρυπτογραφική θωράκιση
Η σημαντικότερη αλλαγή αφορά την απενεργοποίηση του LZ77 dictionary coder. Η απόφαση βασίζεται στην έρευνα "Crossing the Streams", η οποία αποδεικνύει ότι η κοινή χρήση του λεξικού συμπίεσης σε multiplexed κανάλια επιτρέπει την ανάκτηση μυστικών δεδομένων μέσω chosen-plaintext επιθέσεων. Επιπλέον, εισάγεται ο υβριδικός αλγόριθμος post-quantum ssh-mldsa44-ed25519, αντικαθιστώντας την πειραματική υλοποίηση με μια πιο σταθερή και επίσημη προσέγγιση.
Περιορισμοί και deprecation
Στο πλαίσιο της βελτίωσης της ασφάλειας, το OpenSSH 10.6 ξεκινά τη διαδικασία απόσυρσης (deprecation) για το flag -R του scp, το οποίο κρίνεται ως εύθραυστο και επικίνδυνο για την ασφάλεια λόγω προβλημάτων στο shell quoting. Παράλληλα, αυστηροποιούνται οι έλεγχοι στα ονόματα χρηστών που εισάγονται μέσω command-line, απαγορεύοντας χαρακτήρες όπως το $ και το \, ώστε να περιοριστεί η πιθανότητα injection σε ProxyCommand ή Match exec directives.