Resumen

  • Ylonen recordó después que un sniffer de contraseñas en la red de una universidad finlandesa había recopilado miles de credenciales, algunas de su empresa. Las fuentes disponibles no incluyen un registro independiente del incidente.
  • En julio de 1995 SSH siguió pasos distintos: pruebas beta, asignación del puerto 22 por IANA, publicación del código y, meses después, un borrador de protocolo. Ningún paso demuestra adopción universal ni aprobación de la IETF.

En una entrevista publicada en febrero de 2001 y actualizada en abril de 2002, Tatu Ylonen recordó que quería acceder a los servidores de su empresa y de su universidad sin temer que alguien interceptara la contraseña en la red. Dijo que la base del sniffer contenía varios miles de pares de usuario y contraseña, incluidos algunos de su empresa. El conjunto de fuentes no contiene un registro independiente que identifique al atacante, fije la fecha de la intrusión o verifique la cifra: es el recuerdo retrospectivo del desarrollador, no un informe forense.

La primera respuesta fue un programa ejecutable, no una resolución de un comité. Ylonen situó después el inicio del desarrollo en la primavera de 1995. Antes de publicarlo, solicitó a la Internet Assigned Numbers Authority un puerto de servicio privilegiado. En el correo reproducido en el sitio de su empresa describió un programa para iniciar sesión de forma segura en una red insegura, señaló que ya llevaba meses en uso local y dijo que su versión beta empleaba el puerto 22. Joyce Reynolds contestó que IANA asignaría ese número a ssh. El registro dio al servicio un punto reconocible dentro de un catálogo compartido; no instaló el programa en los equipos de otras redes.

El 12 de julio, Ylonen anunció SSH 1.0 en la lista Cypherpunks y ofreció paquetes de código fuente para descarga anónima por FTP. Presentó el programa como reemplazo de rlogin, rsh y rcp. La nota describía comunicaciones cifradas, autenticación RSA de máquinas y usuarios, reenvío X11 y transporte de otras conexiones TCP. Son prestaciones afirmadas por el autor, no resultados de una auditoría independiente. El mensaje decía que el programa estaba disponible gratuitamente y también advertía de restricciones de patentes y exportación. “Gratuito” no equivale a uso universalmente libre de límites jurídicos ni a una licencia inmutable.

El calendario fue breve: pruebas beta, solicitud del puerto el 10 de julio y anuncio público dos días después. Eso no convirtió SSH en un estándar de Internet. El 15 de noviembre, Ylonen presentó un Internet-Draft individual. El Datatracker de la IETF lo marca ahora como expirado y explica que un borrador individual no cuenta con respaldo de la IETF ni tiene estatus formal en su proceso de estándares. El programa, el puerto registrado, el borrador y un estándar eran cosas distintas.

Tatu Ylonen también recordó que, a finales de 1995, recibía hasta 150 correos de soporte al día. El informe anual de 2020 de SSH Communications Security sitúa retrospectivamente la constitución de la empresa el 31 de diciembre de 1995. Este registro corporativo documenta la creación de una organización capaz de mantener el software, pero no establece cuántos usuarios tenía SSH ni por qué lo adoptaron.

Las licencias posteriores afectaron la continuidad del código. La historia de OpenSSH afirma que en 1999 sus desarrolladores tomaron SSH 1.2.12 como la última versión que podían reutilizar, quitaron componentes sujetos a restricciones de licencia o patentes y continuaron en un fork independiente. OpenSSH no fue simplemente el mismo programa de 1995 con otro nombre: sustituyó componentes y mantuvo su propio código. Su licencia conserva el permiso de Ylonen sobre sus aportes, pero distingue los derechos de terceros.

El origen de SSH se entiende mejor como una secuencia que como una sola fecha de invención: un incidente relatado lleva a crear un sustituto; un número de puerto lo identifica; publicar el código lo hace accesible; un borrador describe después el protocolo; y decisiones de empresas y comunidades definen quién puede mantenerlo. Las fuentes no demuestran adopción inmediata universal, protección perfecta ni un único propietario de todas las implementaciones posteriores.

Fuentes: Anuncio de SSH 1.0 de Tatu Ylonen, julio de 1995; Relato de Tatu Ylonen sobre la asignación IANA del puerto 22; Borrador SSH del 15 de noviembre de 1995; Entrevista de Tatu Ylonen (publicada en 2001 y actualizada en 2002); Informe anual de 2020 de SSH Communications Security; Historia del proyecto OpenSSH; Licencia de OpenSSH.