Zusammenfassung

  • Ylonen berichtete später, ein Passwort-Sniffer im Netz einer finnischen Universität habe Tausende Zugangsdaten gesammelt, darunter auch solche seiner Firma. Die verfügbaren Quellen enthalten kein unabhängiges Vorfallsprotokoll.
  • Im Juli 1995 folgten auf SSH mehrere getrennte Schritte: Betatests, die Zuweisung von Port 22 durch IANA, die öffentliche Quellcodeverteilung und Monate später ein Protokollentwurf. Keiner davon belegt allein eine allgemeine Nutzung oder eine Billigung durch die IETF.

In einem Interview, das im Februar 2001 erschien und im April 2002 aktualisiert wurde, erinnerte sich Tatu Ylonen, er habe sich bei den Servern seiner Firma und Universität anmelden wollen, ohne die Abfangung seines Passworts im Netz zu fürchten. Die Datenbank des Sniffers habe mehrere Tausend Benutzername-Passwort-Paare enthalten, darunter Zugangsdaten seiner Firma. Die Quellen enthalten kein unabhängiges Vorfallsprotokoll, das den Angreifer identifiziert, das Eindringen genau datiert oder die Zahl bestätigt: Es ist die rückblickende Erinnerung des Entwicklers, kein forensischer Bericht.

Die erste Antwort war ein laufendes Programm, kein Beschluss eines Gremiums. Ylonen datierte den Entwicklungsbeginn später auf das Frühjahr 1995. Vor der Veröffentlichung beantragte er bei der Internet Assigned Numbers Authority einen privilegierten Dienstport. In der auf der Unternehmensseite wiedergegebenen E-Mail beschrieb er ein Programm für sichere Anmeldung über ein unsicheres Netz, das bereits seit Monaten lokal eingesetzt worden sei; die Betaversion benutze Port 22. Joyce Reynolds antwortete, IANA habe diese Nummer ssh zugewiesen. Der Eintrag machte den Dienst in einem gemeinsamen Verzeichnis erkennbar, installierte aber keine Software auf anderen Systemen.

Am 12. Juli kündigte Ylonen SSH 1.0 auf der Cypherpunks-Mailingliste an und bot Quellcodearchive per anonymem FTP an. Er stellte das Programm als Ersatz für rlogin, rsh und rcp vor. Die Ankündigung nannte verschlüsselte Kommunikation, RSA-basierte Host- und Benutzerauthentifizierung, X11-Weiterleitung und den Transport anderer TCP-Verbindungen. Das waren Funktionsangaben des Autors, keine unabhängigen Prüfergebnisse. Die Nachricht nannte das Programm frei verfügbar und warnte zugleich vor Patent- und Exportbeschränkungen. „Kostenlos“ bedeutete daher weder rechtliche Grenzenlosigkeit noch unveränderliche Lizenzbedingungen.

Die Abfolge war knapp: Betatest, Portantrag am 10. Juli, öffentliche Ankündigung zwei Tage später. SSH war damit aber noch kein Internetstandard. Am 15. November reichte Ylonen einen individuellen Internet-Draft ein. Der IETF Datatracker führt ihn heute als abgelaufen und erklärt, dass ein individueller Draft nicht von der IETF gebilligt wird und im Standardisierungsprozess keinen formalen Status besitzt. Laufendes Programm, registrierter Port, verbreiteter Entwurf und anerkannter Standard waren verschiedene Zustände.

Tatu Ylonen erinnerte sich später, Ende 1995 bis zu 150 Support-E-Mails täglich erhalten zu haben. Der Geschäftsbericht 2020 der SSH Communications Security datiert die Unternehmensgründung rückblickend auf den 31. Dezember 1995. Dieser Unternehmensbericht dokumentiert eine Organisation, die die Software betreuen konnte; Nutzerzahlen oder Gründe für die Einführung belegt er nicht.

Spätere Lizenzbedingungen wurden für die Kontinuität des Codes wichtig. Laut der OpenSSH-Projektgeschichte wählten Entwickler 1999 das ursprüngliche SSH 1.2.12 als letzte wiederverwendbare Version, entfernten Komponenten mit Lizenz- oder Patentbeschränkungen und setzten die Arbeit in einem eigenen Fork fort. OpenSSH war nicht einfach das unveränderte Programm von 1995 unter neuem Namen: Komponenten wurden ersetzt und eine separate Codebasis gepflegt. Die OpenSSH-Lizenz enthält Ylonens Erlaubnis für seinen eigenen Code, unterscheidet davon aber Rechte und Bedingungen Dritter.

Die Entstehung von SSH lässt sich besser als Folge von Übergaben denn als einzelnes Erfindungsdatum beschreiben. Ein vom Beteiligten geschilderter Vorfall führte zu einem Ersatzprogramm; eine Portnummer machte den Dienst auffindbar; die Quellcodeveröffentlichung machte ihn verfügbar; ein späterer Entwurf beschrieb das Protokoll; und Entscheidungen von Unternehmen und Community prägten die Wartung. Die Quellen belegen weder sofortige allgemeine Verbreitung noch perfekten Schutz oder einen einzigen Eigentümer aller späteren Implementierungen.

Quellen: SSH-1.0-Ankündigung von Tatu Ylonen, Juli 1995; Bericht von Tatu Ylonen über die IANA-Zuweisung von Port 22; SSH Internet-Draft vom 15. November 1995; Interview mit Tatu Ylonen (2001 veröffentlicht, 2002 aktualisiert); Geschäftsbericht 2020 der SSH Communications Security; OpenSSH-Projektgeschichte; OpenSSH-Lizenzdatei.