Waarom OpenSSH 10.6 alles breekt (om je netwerk te redden van de kwantumdreiging) — Daily WTF!

De OpenSSH 10.6-update van 7 oktober 2026 breekt met de traditionele releasecyclus omdat AI-modellen razendsnel complexe 'zero-days' in de code ontdekken. Het ontwikkelteam stapt over op frequentere patches om 'zero-day collisions' voor te zijn, waarbij onafhankelijke partijen binnen 48 uur dezelfde bugs vinden.
Om een 'chosen-plaintext' zijkanaalaanval tegen te gaan, wordt het LZ77-compressiealgoritme op protocolniveau volledig uitgeschakeld. Systeembeheerders moeten datacompressie voortaan op applicatieniveau (layer 7) toepassen om te voorkomen dat compressiecontexten netwerkgeheimen lekken.
Leestekens zoals het dollarteken en de backslash zijn niet langer toegestaan in gebruikersnamen op de command line. Deze strikte beperking blokkeert de mogelijkheid voor aanvallers om shell-injecties uit te voeren via lokale proxy-commando's zoals ProxyJump of de -J vlag.
Verouderde platformen zoals SCO OpenServer 5 en QNX 6 worden niet langer ondersteund omdat deze geen moderne sandboxing of privilege-scheiding aankunnen. Daarnaast zijn gevaarlijke functionaliteiten zoals recursief kopiëren (scp -R) en bewust zwakke cryptografie (zoals DSA en RC4) agressief verwijderd.
Ter voorbereiding op kwantumcomputers en de afluisterstrategie van "bewaar nu, ontsleutel later", introduceert de update de hybride sleutel SSH-MLDSA44-ED25519. Deze combineert het vertrouwde ED25519-algoritme met multidimensionale ML-DSA-44-roostercryptografie (lattices) voor een onbreekbare dubbele beveiliging.
De nieuwe waarschuwingsfunctie WarnWeCrypto kan worden gebruikt om binnenkomende verbindingen met niet-kwantumveilige sleutels via syslog of journalctl te loggen. Eerdere experimentele post-kwantumsleutels moeten worden verwijderd ten gunste van de nieuwe finale FIPS 204-standaard.
De menselijke factor blijft een uitdaging, geïllustreerd door een bug waarbij certificaten onjuist verliepen omdat ssh-keygen de zomertijd in de Antarctica/Troll-tijdzone niet goed verwerkte. Tegelijkertijd is de snelle responstijd en flexibiliteit van de open-source gemeenschap momenteel het sterkste verdedigingswapen tegen de oprukkende AI-dreiging in netwerkprotocollen.