要約

  • Ylonenは後年、フィンランドの大学ネットワークに置かれたパスワード盗聴プログラムが数千件の認証情報を集め、その中には自社のものもあったと回想した。独立した事件記録は今回確認した資料にはない。
  • 1995年7月のSSHには、ベータ試用、IANAによる22番ポートの割り当て、公開コード配布、数か月後のプロトコル草案という別々の段階があった。いずれも普及やIETF承認を単独で証明しない。

2001年2月に公開され、2002年4月に更新されたインタビューで、Tatu Ylonenは、ネットワーク上でパスワードを盗み見られる心配なく会社や大学のサーバーにログインしたかったと振り返った。スニファーのデータベースには数千組のユーザー名とパスワードがあり、自社の認証情報も含まれていたという。確認できる資料には、攻撃者や侵入日を特定し、件数を検証する独立した事件記録はない。これは開発者の回想であり、フォレンジック報告ではない。

最初の対応は委員会決議ではなく、動くソフトウェアだった。Ylonenは後年、開発を始めた時期を1995年春としている。公開前に、Internet Assigned Numbers Authorityへ特権サービス用ポートを申請した。会社サイトに再掲されたメールで、彼は安全でないネットワーク上でも安全にログインできるプログラムを作り、すでに数か月ローカルで試しており、ベータ版には22番ポートを使っていると説明した。Joyce ReynoldsはIANAが ssh に22番を割り当てたと返信した。この登録でサービスは共通の番号表から識別できるようになったが、他のネットワークにソフトウェアが配備されたわけではない。

7月12日、YlonenはCypherpunksメーリングリストでSSH 1.0を告知し、匿名FTPでソースを配布した。告知は rlogin、rsh、rcp の代替と位置づけ、通信の暗号化、RSAによるホスト・ユーザー認証、X11転送、任意のTCP接続の転送を機能として挙げた。これは作者が公表した仕様であって、独立した安全性評価の結果ではない。告知は無料で入手できると述べる一方、特許と輸出の制限にも触れていた。したがって「無料」は当時の配布説明を指し、法的制約が一切ない、または将来もライセンス条件が変わらないという意味ではない。

日程は短い。ベータ試用、7月10日のポート申請、その2日後の一般向け告知。しかし、SSHはまだインターネット標準ではなかった。11月15日にYlonenが提出したのは個人名義のInternet-Draftである。IETF Datatrackerは現在これを失効済みとし、個人ドラフトはIETFの承認を受けたものではなく、標準化手続き上の正式な地位もないと説明する。動くプログラム、登録済みポート、流通した草案、承認規格はそれぞれ別の状態だった。

Tatu Ylonenは後年、1995年末にはサポート依頼のメールを1日最大150通受け取ったと振り返った。SSH Communications Securityの2020年年次報告書は、同社の設立日を1995年12月31日としている。企業による後年の記録は、ソフトウェアを継続保守する組織の成立を示すが、SSHの利用者数や採用理由までは立証しない。

その後、ライセンスはコードの継続に影響した。OpenSSHのプロジェクト史によると、開発者は1999年に再利用できる最後の版としてオリジナルSSH 1.2.12を選び、ライセンスや特許の制約がある部品を取り除いて別のフォークとして開発を続けた。OpenSSHは1995年版をそのまま改名したものではなく、部品を置き換え、独自のコードベースを維持した。OpenSSHのライセンスにはYlonen自身のコードへの許諾が残る一方、第三者の権利や部品には別の条件があった。

SSHの誕生は一つの日付ではなく、段階の連鎖として見るほうが正確だ。認証情報が盗まれたという当事者の記憶を受けて代替ソフトが作られ、ポート登録で識別され、ソース公開で入手可能になり、後から草案がプロトコルを記述した。その後の企業とコミュニティの判断が、誰がコードを保守できるかを左右した。即時の普及、完全な防御、後の全実装に対する単一の所有者は、資料からは立証できない。

資料: Tatu Ylonenの1995年7月SSH 1.0告知；IANAによる22番ポート割り当てについてのTatu Ylonenの記録；1995年11月15日のSSH Internet-Draft；Tatu Ylonenのインタビュー（2001年公開、2002年更新）；SSH Communications Security 2020年年次報告書；OpenSSHプロジェクトの沿革；OpenSSHのライセンス記録.