openssh unix dev - May 2017 - Support for RFC6187

Hello,



I was wondering if there?s any reason why openssh is not supporting server
authentication using ?x509v3-rsa2048-sha256? which is defined in RFC6187?



Since it is recommended by the official document in Germany, namely
?BSI-TR-02102-4?, maybe it?s worth going for it




Greetings,



Mit freundlichen Gr??en / Best regards

------------------------

Dipl. Ing. Edgar Zaiser


IPCOMM GmbH
Walter-Bouhon-Stra?e 4
90427 N?rnberg
Germany

Tel.: +49 911 18 07 91-62
Fax: +49 911 18 07 91-10
 <http://www.ipcomm.de/> http://www.ipcomm.de



 <http://www.ipcomm.de/article/Workshop/de/sheet.html>

JETZT NEU! Informieren Sie sich ?ber unser Produktportfolio und unser
Leistungsspektrum bei einem kostenlosen
<http://www.ipcomm.de/article/Workshop/de/sheet.html> Webinar, live und
online, oder entscheiden Sie sich f?r eine unserer
<http://www.ipcomm.de/article/Workshop/de/sheet.html> Basis- oder
Expertenschulungen aus erster Hand, die Ihrer jeweiligen Situation und
Ihren Anforderungen Rechnung tragen.
NEW! We will be glad to give you the information about our product
portfolio and our range of services in a free
<http://www.ipcomm.de/article/Workshop/de/sheet.html> webinar, live and
online. Or you decide to participate in a first-hand
<http://www.ipcomm.de/article/Workshop/de/sheet.html> basic course or
expert training that meet your individual situation and requirements.

Gesch?ftsf?hrer / General Manager: Artur Votteler

Sitz der Gesellschaft / Headquarters: D-90427 Nuremberg, Germany

Amtsgericht / Local Court: Nuremberg - HR B 31759

WEEE-Reg.-Nr. / WEE-Reg.-No.: DE51203130

UST-IDNR.: DE813859506

Hinweis: Diese E-Mail und etwaige Anlagen k?nnen Betriebs- oder
Gesch?ftsgeheimnisse, dem Anwaltsgeheimnis unterliegende oder sonstige
vertrauliche Informationen enthalten. Sollten Sie diese E-Mail irrt?mlich
erhalten haben, ist Ihnen der Status dieser E-Mail bekannt. Bitte
benachrichtigen Sie uns in diesem Fall sofort durch Antwort-Mail und
l?schen Sie diese E-Mail nebst etwaigen Anlagen von Ihrem System. Ebenso
d?rfen Sie diese E-Mail oder seine Anlagen nicht kopieren oder an Dritte
weitergeben. Vielen Dank.

On Thu, 4 May 2017, Edgar Zaiser wrote:
> Hello,
> 
> I was wondering if there?s any reason why openssh is not supporting server
> authentication using ?x509v3-rsa2048-sha256? which is defined in RFC6187?
> 
> Since it is recommended by the official document in Germany, namely
> ?BSI-TR-02102-4?, maybe it?s worth going for it?
Hi,

We consider X.509 too complex a format to support. It dramatically
multiplies attack surface, especially in the crucial pre-authentication
phase of the protocol.

There are third-party patches to add X.509 to OpenSSH:
http://roumenpetrov.info/secsh/

Alternately, OpenSSH supports a much simpler certificate format that
achieves much the same result. There are a few guides and quite a few
third-party tools to manage these (e.g. CAs).

Cheers,
Damien Miller