摘要

  • Ylonen 后来回忆，芬兰大学网络上的密码嗅探程序收集了数千组凭据，其中包括他所在公司的账户；现有材料没有独立的事件调查记录。
  • SSH 在 1995 年 7 月经历了几件不同的事：测试版试用、IANA 分配 22 端口、公开发布代码，数月后再提交协议草案。这些步骤都不能证明它已普遍部署或获得 IETF 批准。

Tatu Ylonen 在一篇 2001 年 2 月刊出、2002 年 4 月更新的访谈中回忆，他希望登录公司和大学的服务器时，不必担心密码被网络旁听者截获。他说，嗅探器数据库中有数千组用户名和密码，其中包括其公司的凭据。现有来源没有独立事件记录来识别攻击者、确定入侵日期或核实数量；这是一位开发者的事后回忆，不是数字取证报告。

最先出现的是可以运行的程序，而不是委员会的决议。Ylonen 后来把开发起点追溯到 1995 年春季。公开发布前，他向互联网号码分配机构 IANA 申请一个特权服务端口。他公司网站转录的邮件中，Ylonen 说自己写了一个可在不安全网络上安全登录的程序，已在本地使用数月，测试版使用 22 端口。Joyce Reynolds 回复，IANA 将该号码分配给 ssh。这项登记让服务在共同的端口目录中有了名称和位置，却没有替其他网络安装客户端或服务器。

7 月 12 日，Ylonen 在 Cypherpunks 邮件列表宣布 SSH 1.0，并提供可匿名 FTP 获取的源码包。他将其介绍为 rlogin、rsh 和 rcp 的替代品。公告列出加密通信、基于 RSA 的主机与用户认证、X11 转发，以及通过加密通道转发其他 TCP 连接等功能。这些是作者发布时的功能说明，并非独立安全审计的结论。公告称软件可免费获得，同时提醒读者注意专利和出口限制。因此，“免费”描述的是当时宣布的分发方式，不等于任何地区、任何用途都没有法律限制，也不代表许可条款永不改变。

时间线很紧凑：测试版、7 月 10 日的端口申请、两天后的公开公告。但 SSH 当时还不是互联网标准。11 月 15 日，Ylonen 提交了一份个人 Internet-Draft。IETF Datatracker 现将其标记为已过期，并说明个人草案不代表 IETF 背书，也没有 IETF 标准流程中的正式地位。可运行的软件、登记的端口、流传的协议草案和获批标准，是四种不同状态。

Tatu Ylonen 后来回忆，1995 年底每天最多会收到 150 封求助邮件。SSH Communications Security 的 2020 年年报将公司成立时间追溯至 1995 年 12 月 31 日。这份企业记录显示软件开始由组织持续维护，但不能证明 SSH 的用户数量或解释采用原因。

后来的许可条款影响了代码能否延续。OpenSSH 项目史称，开发者在 1999 年选取原版 SSH 1.2.12，因为那是他们仍可重新利用的最后版本；随后移除受限于许可或专利的组件，并以独立分支继续开发。OpenSSH 并非 1995 年程序原样换名：它替换组件，也维护了自己的代码库。其许可文件保留 Ylonen 对自己代码的许可，同时说明第三方权利受各自条款约束。

因此，SSH 的起源不是一个孤立的“发明日”，而是一串交接：一次被当事人回忆的凭据窃听促成替代程序；端口登记使服务可识别；公开源码使其可获取；后来的草案描述协议；再往后，公司的产品与社群的分支决定谁能维护代码。现有证据并不能证明 SSH 立即普及、提供完美防护，或所有后续实现都归同一方所有。

来源: Tatu Ylonen 1995 年 7 月 SSH 1.0 公告；Tatu Ylonen 对 IANA 分配 22 端口的回忆；1995 年 11 月 15 日 SSH 协议草案；Tatu Ylonen 访谈（2001 年刊出，2002 年更新）；SSH Communications Security 2020 年年报；OpenSSH 项目历史；OpenSSH 许可证文件.