Resumo

  • Ylonen recordou mais tarde que um farejador de senhas na rede de uma universidade finlandesa havia reunido milhares de credenciais, inclusive algumas de sua empresa. As fontes consultadas não trazem um registro independente do incidente.
  • Em julho de 1995, o SSH passou por etapas distintas: testes beta, atribuição da porta 22 pela IANA, publicação do código e uma minuta de protocolo meses depois. Nenhuma delas prova adoção universal nem aprovação da IETF.

Em uma entrevista publicada em fevereiro de 2001 e atualizada em abril de 2002, Tatu Ylonen recordou que queria acessar os servidores da empresa e da universidade sem temer a captura da senha na rede. Segundo ele, a base do sniffer continha milhares de pares de usuário e senha, inclusive credenciais da sua empresa. O conjunto de fontes não inclui um registro independente que identifique o invasor, determine a data da invasão ou confirme a quantidade: trata-se da lembrança retrospectiva do desenvolvedor, não de um laudo forense.

A primeira resposta foi um programa executável, não uma decisão de comitê. Ylonen situou o início do desenvolvimento na primavera de 1995. Antes da publicação, pediu à Internet Assigned Numbers Authority um número de porta de serviço privilegiado. Na mensagem reproduzida no site da empresa, ele descreveu um programa para entrar com segurança em outra máquina por uma rede insegura, disse que já o usava localmente havia meses e informou que o beta rodava na porta 22. Joyce Reynolds respondeu que a IANA havia atribuído o número ao ssh. O registro tornou o serviço identificável numa lista comum; não instalou o programa em outras redes.

Em 12 de julho, Ylonen anunciou o SSH 1.0 na lista Cypherpunks e ofereceu arquivos-fonte por FTP anônimo. A mensagem o apresentava como substituto de rlogin, rsh e rcp. Citava comunicações criptografadas, autenticação RSA de hosts e usuários, encaminhamento de X11 e transporte de outras conexões TCP. São características anunciadas pelo autor, não resultados de uma auditoria independente. A nota dizia que o programa estava disponível gratuitamente e também alertava para restrições de patentes e exportação. “Gratuito”, portanto, descreve a distribuição anunciada, não uma licença sem limites jurídicos em todo lugar ou imutável para sempre.

A sequência foi rápida: beta, pedido de porta em 10 de julho e anúncio público dois dias depois. Isso não fez do SSH um padrão da Internet. Em 15 de novembro, Ylonen submeteu um Internet-Draft individual. O Datatracker da IETF agora o classifica como expirado e explica que um rascunho individual não é endossado pela IETF nem tem posição formal no processo de padrões. Programa em funcionamento, porta registrada, minuta circulante e padrão aprovado eram coisas diferentes.

Tatu Ylonen também recordou que, no fim de 1995, recebia até 150 mensagens de suporte por dia. O relatório anual de 2020 da SSH Communications Security situa retrospectivamente a formação da empresa em 31 de dezembro de 1995. Esse registro corporativo documenta o surgimento de uma organização para manter o software, mas não comprova quantos usuários adotaram o SSH nem por quê.

Depois, as licenças afetaram a continuidade do código. A história do OpenSSH diz que, em 1999, seus desenvolvedores escolheram o SSH 1.2.12 original como a última versão que podiam reutilizar, removeram componentes com restrições de licença ou patente e continuaram num fork separado. O OpenSSH não foi apenas o programa de 1995 com outro nome: substituiu componentes e manteve sua própria base de código. A licença preservada do OpenSSH mantém a permissão de Ylonen para o código dele, mas reconhece que direitos e componentes de terceiros tinham condições próprias.

A origem do SSH é mais bem descrita como uma cadeia do que como uma única data de invenção. Um incidente relatado levou à criação de uma alternativa; o registro da porta tornou o serviço identificável; a publicação do código o tornou acessível; uma minuta posterior descreveu o protocolo; e decisões empresariais e comunitárias definiram quem poderia mantê-lo. As fontes não provam adoção imediata por todos, proteção perfeita ou um único proprietário de cada implementação posterior.

Fontes: Anúncio do SSH 1.0 por Tatu Ylonen, julho de 1995; Relato de Tatu Ylonen sobre a atribuição da porta 22 pela IANA; Minuta do protocolo SSH, 15 de novembro de 1995; Entrevista de Tatu Ylonen (publicada em 2001, atualizada em 2002); Relatório anual de 2020 da SSH Communications Security; História do projeto OpenSSH; Licença do OpenSSH.