• Key Exchange
  • algoritmus, kterým si klient a server na začátku spojení bezpečně dohodnou společný klíč pro šifrování komunikace
  • náhrada Diffie-Hellman
  • hrozí harvest now, decrypt later - možnost dešifrování dat zpětně
  • SNTRUP
    • RFC 9941
  • ML-KEM
    • RFC 10042
    • RouterOS 7.24

• Public Key Algorithms
  • algoritmus použitý pro klíče - zajištění autentizace a integrity, tj. ověření odesílatele a nezměněného obsahu zprávy
  • náhrada RSA, ECDSA
  • k prolomení vyžaduje kvantový počítač nyní
  • ML-DSA
    • draft-rpe-ssh-mldsa-03
    • mldsa-44, mldsa-65, mldsa-87
    • experimentální podpora v OpenSSH 10.4, PKIX-SSH
    • Fedora 45/Rawhide

Dostupnost jednotlivých algoritmů

Verze OpenSSH v distribucích

Otestování klienta OpenSSH

$ ssh -Q kex | grep -E 'sntrup|mlkem|mldsa'

Otestování serveru OpenSSH

# sshd -T | grep -i kexalgorithms

Vygenerování klíče OpenSSH

$ ssh-keygen -t mldsa44-ed25519 -f ~/.ssh/[key name]

Nástroj pro otestování SSH obecně včetně enumerace podporovaných algoritmů

$ ssh-audit [host]