Кратко

  • Позже Tatu Ylonen вспоминал, что программа-перехватчик паролей в сети финского университета собрала тысячи учетных данных, в том числе несколько из его компании. В доступных источниках нет независимого журнала инцидента.
  • В июле 1995 года SSH прошел разные этапы: бета-тестирование, присвоение IANA порта 22, публикацию исходного кода и, несколькими месяцами позже, проект протокола. Ни один из этих шагов сам по себе не доказывает массового внедрения или одобрения IETF.

В интервью, опубликованном в феврале 2001 года и обновленном в апреле 2002 года, Tatu Ylonen вспоминал, что хотел входить на серверы компании и университета, не опасаясь перехвата пароля в сети. По его словам, в базе сниффера находились тысячи пар имен пользователей и паролей, в том числе данные его компании. В доступных источниках нет независимого журнала инцидента, который установил бы злоумышленника, точную дату проникновения или подтвердил число: это позднее воспоминание разработчика, а не криминалистический отчет.

Первым ответом стала работающая программа, а не решение комитета. Позже Tatu Ylonen относил начало разработки к весне 1995 года. До публикации он запросил у Internet Assigned Numbers Authority привилегированный порт службы. В письме, опубликованном на сайте его компании, он описывал программу безопасного входа через незащищенную сеть, сообщал, что она уже несколько месяцев использовалась локально, и указывал, что бета-версия работала на порту 22. Джойс Рейнольдс ответила, что IANA присвоила этот номер службе ssh. Регистрация сделала службу узнаваемой в общем списке, но не установила программу в других сетях.

12 июля Tatu Ylonen объявил SSH 1.0 в списке Cypherpunks и предложил исходные архивы для анонимной загрузки по FTP. Он представил программу как замену rlogin, rsh и rcp. В объявлении перечислялись шифрование связи, аутентификация хостов и пользователей на основе RSA, пересылка X11 и передача других TCP-соединений. Это заявленные автором возможности, а не результат независимого аудита безопасности. В сообщении говорилось о бесплатной доступности и одновременно предупреждалось об ограничениях патентного и экспортного законодательства. Слово «бесплатно» описывало объявленные условия распространения, но не означало отсутствия любых юридических ограничений или неизменности лицензии.

Последовательность была короткой: бета-тестирование, запрос порта 10 июля и публичное объявление через два дня. Но это еще не делало SSH интернет-стандартом. 15 ноября Tatu Ylonen подал индивидуальный Internet-Draft. Сейчас Datatracker IETF отмечает его как истекший и поясняет, что индивидуальный проект не одобрен IETF и не имеет формального статуса в процессе стандартизации. Работающая программа, зарегистрированный порт, опубликованный проект и утвержденный стандарт — разные состояния.

Позднее Tatu Ylonen вспоминал, что в конце 1995 года получал до 150 писем в службу поддержки ежедневно. В годовом отчете SSH Communications Security за 2020 год основание компании ретроспективно датировано 31 декабря 1995 года. Корпоративная хроника фиксирует появление организации, способной поддерживать программу, но не доказывает ни число пользователей SSH, ни причины его внедрения.

Позднее условия лицензирования повлияли на продолжение кода. История OpenSSH сообщает, что в 1999 году разработчики выбрали исходную версию SSH 1.2.12 как последнюю, которую могли повторно использовать, удалили компоненты с ограничениями лицензий или патентов и продолжили работу в отдельной ветке. OpenSSH не был просто прежней программой с новым названием: разработчики заменили компоненты и поддерживали собственную кодовую базу. В лицензии OpenSSH сохранено разрешение Tatu Ylonen на его собственный код, но права и условия для сторонних компонентов отделены.

Историю появления SSH точнее описывает цепочка событий, а не одна дата изобретения. Рассказанный участником инцидент привел к созданию замены; регистрация порта дала службе идентификатор; публикация исходников сделала ее доступной; позднее проект документа описал протокол; затем решения компании и сообщества определили, кто сможет поддерживать код. Источники не доказывают мгновенного всеобщего внедрения, абсолютной защиты или единого владельца всех последующих реализаций.

Источники: Объявление Tatu Ylonen о SSH 1.0, июль 1995 года; Рассказ Tatu Ylonen о присвоении IANA порта 22; Проект протокола SSH от 15 ноября 1995 года; Интервью Tatu Ylonen (опубликовано в 2001 году, обновлено в 2002 году); Годовой отчет SSH Communications Security за 2020 год; История OpenSSH; Лицензия OpenSSH.