Avanço dos recursos pós-quânticos de SSH no Red Hat Enterprise Linux

A transição da criptografia pós-quântica (PQC) está em andamento no Red Hat Enterprise Linux (RHEL). Em maio de 2025, o RHEL 10 disponibilizou algoritmos de troca de chaves pós-quânticas em três bibliotecas de criptografia principais (OpenSSL, GnuTLS e NSS). Isso tornou a troca de chaves pós-quântica utilizável em conexões TLS 1.3. O RHEL 10.1 veio em seguida, definindo os novos algoritmos de troca de chaves como padrão no TLS e introduzindo assinaturas pós-quânticas para pacotes RPM.

O protocolo Secure Shell (SSH) não ficou para trás. O RHEL 10 foi lançado com o OpenSSH 9.9, que oferece suporte a dois métodos híbridos de troca de chaves pós-quânticas: sntrup761x25519-sha512 combina a troca de chaves X25519 clássica com o algoritmo NTRU Prime otimizado e baseado em treliça (SNTRUP), e o mlkem768x25519-sha256 combina X25519 com o mecanismo de encapsulamento de chaves baseado em reticulado modular (ML-KEM) padronizado pelo National Institute of Standards and Technology (NIST) dos EUA. A partir do RHEL 10.1, o OpenSSH prefere o último ao estabelecer conexões, a menos que haja outra configuração.

Novidades do SSH no RHEL 10.2

Outros recursos de PQC do SSH foram integrados ao RHEL 10.2.

Troca de chaves SSH pós-quântica no modo FIPS

O rascunho da RFC para mlkem768x25519-sha256 está em fase de finalização pelo grupo de trabalho de Secure Shell Maintenance (SSHM) da Internet Engineering Task Force (IETF). O algoritmo está sendo cada vez mais adotado por várias implementações de SSH. No entanto, o rascunho também especifica outros dois algoritmos híbridos de troca de chaves: mlkem768nistp256-sha256 e mlkem1024nistp384-sha384. Eles combinam variantes de ML-KEM com troca de chaves Diffie-Hellman de curva elíptica (ECDH) em curvas recomendadas pelo NIST (P-256 e P-384), em vez da Curve25519.

Como o ML-KEM e o ECDH sobre P-256/P-384 são todos aprovados pelo FIPS, disponibilizamos o mlkem768nistp256-sha256 e o mlkem1024nistp384-sha384 como os únicos dois algoritmos de troca de chaves SSH pós-quânticos compatíveis com FIPS no Red Hat Enterprise Linux 10.2. Embora os mantenedores upstream do OpenSSH tenham decidido não implementar esses dois híbridos adicionais, clientes da Red Hat podem começar a utilizar criptografia pós-quântica no SSH no modo FIPS graças aos patches downstream do OpenSSH fornecidos por profissionais de desenvolvimento da Red Hat.

Suporte à troca de chaves pós-quântica no libssh

Essas construções de troca de chaves híbridas também estão chegando ao libssh 0.12.0 (a biblioteca C do SSH). Alinhando-se ao comportamento do OpenSSH, clientes e servidores SSH criados com base no libssh agora preferem o algoritmo de troca de chaves mlkem768x25519-sha256 por padrão no RHEL 10.2. Isso significa que clientes que executam servidores personalizados baseados em libssh podem se proteger contra ataques do tipo "colher agora, descriptografar depois" com um simples upgrade.

O que é possível para o SSH no futuro

Mais recursos de PQC ainda estão em processo de padronização, e a Red Hat faz parte dele.

Troca de chaves de ML-KEM puro e chaves SSH pós-quânticas

Estamos acompanhando os esforços contínuos para padronizar o uso da troca de chaves de ML-KEM puro (não híbrido) em SSH. O rascunho atual ainda não foi adotado pelo grupo de trabalho de SSHM da IETF, pois não há consenso sobre sua adequação (com opositores argumentando que o ML-KEM não é maduro o suficiente).

O uso de ML-DSA (uma família de algoritmos de assinatura pós-quântica padronizada pelo NIST) no SSH também está em discussão, com vários rascunhos de RFC concorrentes: draft-rpe-ssh-mldsa e draft-sfluhrer-ssh-mldsa buscam padronizar o uso de ML-DSA puro para chaves públicas SSH, enquanto draft-sun-ssh-composite-sigs e draft-josefsson-ssh-ed25519mldsa65 buscam padronizar assinaturas compostas de ML-DSA (combinadas, por exemplo, com assinaturas EdDSA clássicas). A implementação de qualquer uma dessas opções permitiria que clientes e hosts SSH fizessem a autenticação com chaves públicas pós-quânticas, protegendo-os contra ataques man-in-the-middle que utilizam computadores quânticos.

Troca de chaves GSSAPI com criptografia pós-quântica

Por fim, estamos trabalhando para padronizar a troca de chaves GSSAPI com métodos híbridos de PQC (especificamente os três métodos híbridos de ML-KEM) e implementá-la no OpenSSH e no libssh. O rascunho de RFC proposto pela Red Hat baseia-se nas RFC 4462 e RFC 8732. A adoção desse rascunho tornará a autenticação Kerberos no SSH segura contra computação quântica.

Conclusão

Com o lançamento do RHEL 10.2, a troca de chaves SSH pós-quântica é habilitada por padrão, esteja você operando no modo FIPS ou utilizando aplicações SSH personalizadas baseadas em libssh. Convidamos você a atualizar seus sistemas para a versão mais recente do Red Hat Enterprise Linux 10 para mitigar ameaças do tipo "harvest now, decrypt later".

Olhando para o futuro, a engenharia da Red Hat continua ativa na IETF e nas comunidades upstream para definir a próxima fase do SSH com segurança quântica. Isso inclui o suporte a chaves de host pós-quânticas e a autenticação GSSAPI (Kerberos) pós-quântica. À medida que os novos padrões de SSH amadurecem e alcançam consenso, continuaremos a implementá-los e a oferecer suporte em futuras versões do Red Hat Enterprise Linux.