b'\n_START_ARTICLE_\nSecure Shell\n_START_SECTION_\nHistoria\n_START_PARAGRAPH_\nI b\xc3\xb6rjan av 1995 utvecklade Tatu Yl\xc3\xb6nen, forskare vid Tekniska h\xc3\xb6gskolan i Finland, den f\xc3\xb6rsta versionen av SSH-protokollet (numera kallat SSH-1). Yl\xc3\xb6nen gjorde SSH tillg\xc3\xa4ngligt som gratisprogram (freeware) i juli 1995, och det blev snabbt popul\xc3\xa4rt. Inom ett halv\xc3\xa5r ber\xc3\xa4knades antalet anv\xc3\xa4ndare av SSH ha vuxit till cirka 20 000 i \xc3\xb6ver femtio l\xc3\xa4nder._NEWLINE_I originalversionen av SSH anv\xc3\xa4ndes fri programvara, exempelvis GNU-projektets programkod f\xc3\xb6r stortalsaritmetik, men f\xc3\xb6r senare versioner av SSH anv\xc3\xa4nds uteslutande "privat\xc3\xa4gd programvara" (Proprietary software). I december 1995 grundade Yl\xc3\xb6nen f\xc3\xb6retaget SSH Communications Security f\xc3\xb6r att marknadsf\xc3\xb6ra och utveckla SSH, och inledde ett n\xc3\xa4ra samarbete med F-Secure._NEWLINE_\xc3\x85ret d\xc3\xa4rp\xc3\xa5, 1996, utvecklades protokollet s\xc3\xa4kerhetsm\xc3\xa4ssigt och funktionsm\xc3\xa4ssigt. Viktiga brister som konstaterats n\xc3\xa4r en bredare krets av akademiker studerat 1995 \xc3\xa5rs version, till exempel s\xc3\xa5rbarhet f\xc3\xb6r Man-in-the-middle attacks (MITM), \xc3\xa5tg\xc3\xa4rdades. Bland annat f\xc3\xb6rb\xc3\xa4ttrades s\xc3\xa4kerheten med hj\xc3\xa4lp av Diffie-Hellman key exchange och s\xc3\xa4ker autenticitetskontroll genom Message authentication code. Det blev ocks\xc3\xa5 m\xc3\xb6jligt att ansluta med flera sessions genom en SSH-anslutning. Eftersom 1996 \xc3\xa5rs f\xc3\xb6rb\xc3\xa4ttringar innebar en bruten bak\xc3\xa5tkompatibilitet inf\xc3\xb6rdes ben\xc3\xa4mningarna SSH-1 f\xc3\xb6r 1995 \xc3\xa5rs specifikationer, och SSH-2 f\xc3\xb6r det utvecklade protokollet._NEWLINE_\xc3\x85r 2006 klassificerade IETF SSH-2 som internetstandard, och fastst\xc3\xa4llde att SSH-1 inte l\xc3\xa4ngre b\xc3\xb6r anv\xc3\xa4ndas. De flesta servrar och klienter st\xc3\xb6djer idag SSH-2. Men programvara som inte st\xc3\xb6djer SSH-2 anv\xc3\xa4nds emellertid fortfarande av m\xc3\xa5nga, vilket g\xc3\xb6r det sv\xc3\xa5rt att avvara SSH-1.\n_START_SECTION_\nS\xc3\xa4kerhet\n_START_PARAGRAPH_\nDet \xc3\xa4r inte ovanligt att datorer med SSH som \xc3\xa4r direktanslutna till internet uts\xc3\xa4tts f\xc3\xb6r tusentals oauktoriserade inloggningsf\xc3\xb6rs\xc3\xb6k dagligen. Datorer som \xc3\xa4r direktanslutna till internet brukar d\xc3\xa4rf\xc3\xb6r aldrig till\xc3\xa5ta SSH-inloggning med root som anv\xc3\xa4ndarnamn. Detta g\xc3\xb6r att illasinnade m\xc3\xa5ste gissa b\xc3\xa5de anv\xc3\xa4ndarnamn och l\xc3\xb6senord f\xc3\xb6r att kunna logga in, vilket g\xc3\xb6r det betydligt sv\xc3\xa5rare. F\xc3\xb6r att p\xc3\xa5 detta s\xc3\xa4tt hindra root-inloggning \xc3\xa4ndrar man vanligen en rad i filen /etc/ssh/sshd_config och starta om sshd. \xc3\x84ndra raden "#PermitRootLogin yes" till "PermitRootLogin no" (m\xc3\xa5ste ta bort tecknet # i b\xc3\xb6rjan p\xc3\xa5 raden). Man kan ocks\xc3\xa5 begr\xc3\xa4nsa vilka anv\xc3\xa4ndare som f\xc3\xa5r logga in via SSH med "AllowUsers", "DenyUsers", "AllowGroups" och "DenyGroups", samt fr\xc3\xa5n vilka maskiner inloggning till\xc3\xa5ts, till exempel med direktiv i filen /etc/hosts.allow._NEWLINE_Ytterligare s\xc3\xa4tt att f\xc3\xb6rsv\xc3\xa5ra intr\xc3\xa5ng av den h\xc3\xa4r typen \xc3\xa4r att anv\xc3\xa4nda olika s\xc3\xa4kerhetsdaemoner som till exempel sshguard. Dessa fungerar vanligtvis s\xc3\xa5 att de automatiskt, till exempel via iptables eller /etc/hosts.conf, blockerar ip-adresser till klienter som genererat ett visst antal misslyckade inloggningsf\xc3\xb6rs\xc3\xb6k. Risken med detta \xc3\xa4r att man kan utest\xc3\xa4nga legitima anv\xc3\xa4ndare genom inloggningsf\xc3\xb6rs\xc3\xb6k med samma ip-adress, antingen ifr\xc3\xa5ga om fleranv\xc3\xa4ndardatorer eller datorer bakom samma NAT-v\xc3\xa4rd eller med f\xc3\xb6rfalskade ip-adresser \xe2\x80\x93 eller helt enkelt s\xc3\xa5 att den legitima anv\xc3\xa4ndaren misslyckas f\xc3\xb6r m\xc3\xa5nga g\xc3\xa5nger._NEWLINE_En mer avancerad metod \xc3\xa4r "d\xc3\xb6rrknackning" ("port knocking"), som inneb\xc3\xa4r att man f\xc3\xb6rst m\xc3\xa5ste kontakta vissa andra portar f\xc3\xb6r att sshd-porten \xc3\xb6ver huvud taget skall \xc3\xb6ppnas. P\xc3\xa5 en dator med f\xc3\xa5 anv\xc3\xa4ndare kan man v\xc3\xa4lja att helt enkelt l\xc3\xa5ta SSH-servern lyssna p\xc3\xa5 en annan port \xc3\xa4n den vanliga, varvid den inte hittas utan att en m\xc3\xa4ngd portar unders\xc3\xb6ks._NEWLINE_P\xc3\xa5 datorer med m\xc3\xa5nga anv\xc3\xa4ndare \xc3\xa4r standardl\xc3\xb6sningar ofta n\xc3\xb6dv\xc3\xa4ndiga. D\xc3\xa4rvid \xc3\xa4r det viktigt att s\xc3\xa5 l\xc3\xa5ngt som m\xc3\xb6jligt tvinga anv\xc3\xa4ndare att anv\xc3\xa4nda starka l\xc3\xb6senord. I sammanhang d\xc3\xa4r man l\xc3\xa4gger stor vikt vid s\xc3\xa4kerheten kan man f\xc3\xb6rbjuda inloggning med l\xc3\xb6senord och ist\xc3\xa4llet anv\xc3\xa4nda RSA- eller DSA-nycklar'