SSH3: HTTP/3 और QUIC का उपयोग करते हुए SSHv2

मूल लेख ↗ Hacker News चर्चा ↗

“SSH3” नाम का एक नया प्रोजेक्ट सुरक्षित शेल कनेक्शनों को HTTP/3 और QUIC के ऊपर SSH-जैसी semantics चलाकर फिर से कल्पित करने का प्रस्ताव देता है, जिसमें तेज़ session setup, high-latency links पर बेहतर performance, और OAuth/OIDC जैसी web-style authentication के साथ integration का वादा किया गया है। टिप्पणीकार locked-down networks से आसान traversal और मानक HTTPS traffic के पीछे SSH को छिपाने जैसी संभावित लाभों से आकर्षित हैं, लेकिन कई लोग नाम को भ्रामक मानते हैं और SSH को QUIC पर ही चलाने के बजाय HTTP की अतिरिक्त complexity और attack surface जोड़ने पर सवाल उठाते हैं। कई लोग यह भी बताते हैं कि पारंपरिक SSH पहले से certificates, आधुनिक crypto और passkeys का समर्थन करता है, और तर्क देते हैं कि अधिकांश gaps को पूर्ण protocol redesign के बजाय incremental improvements से संबोधित किया जा सकता है।

Project status and naming

  • व्यापक रूप से नोट किया गया है कि यह एक व्यक्तिगत/शैक्षणिक प्रोजेक्ट है, IETF मानक नहीं है, OpenSSH से संबंधित नहीं है, और SSH का कोई “आधिकारिक” संस्करण नहीं है।
  • कई लोगों का मानना है कि “SSH3” एक भ्रामक या क्लिकबेट जैसा नाम है, जो एक स्वीकृत SSHv3 प्रोटोकॉल की अपेक्षा करने वाले उपयोगकर्ताओं को भ्रमित कर सकता है।
  • कुछ लोग तर्क देते हैं कि नामकरण केवल सतही है; अन्य इसे खराब निर्णय और समुदाय-जागरूकता की कमी के संकेत के रूप में देखते हैं।

Protocol design: QUIC vs HTTP/3 vs SSHv2

  • मूल विचार: QUIC+TLS 1.3 के ऊपर HTTP तंत्रों पर SSH-जैसी semantics को मैप करना।
  • कई टिप्पणीकार मानते हैं कि SSH-over-QUIC समझ में आता है, लेकिन HTTP/3 की layering अनावश्यक जटिलता और attack surface जोड़ती है।
  • अन्य लोग कहते हैं कि HTTP/3 का उपयोग प्रोटोकॉल को web infrastructure और tooling में घुलने-मिलने देता है, और आधुनिक networking stacks के साथ तालमेल बैठाता है।

Authentication & PKI model

  • प्रोजेक्ट का लक्ष्य HTTP auth mechanisms (OIDC, OAuth, x.509) का पुन: उपयोग करना है, जिससे SSH access web-style identity से जुड़ जाए।
  • कुछ लोग इसे enterprise SSO और passkeys के लिए बड़ा लाभ मानते हैं; अन्य लोग ध्यान दिलाते हैं कि SSH पहले से ही certificates, FIDO2/passkeys, और PAM/keyboard-interactive के माध्यम से OIDC तक समर्थन करता है।
  • misconfiguration को लेकर चिंताएँ: x.509 और OAuth अत्यधिक, brittle हो सकते हैं, या नए failure modes ला सकते हैं।

Security, privacy, and “hiding”

  • QUIC/HTTP/3 अधिक metadata encrypt करता है, जिससे network inspection और middlebox security कठिन हो जाती है; कुछ security practitioners इससे सतर्क हैं।
  • “secret URL” / path-based hiding पर बहस है: कुछ इसे capability-style access मानते हैं, जबकि अन्य इसे security-through-obscurity मानते हैं, जिसे कोई भी प्रोटोकॉल अपना सकता है (जैसे port knocking)।
  • अतिरिक्त चिंताएँ: HTTP stacks में SSH की तुलना में vulnerabilities (LFI, request smuggling, आदि) का इतिहास बड़ा है।

Performance and usability

  • दावा किए गए लाभ: session setup के लिए कम RTTs, high-latency या long-fat networks पर बेहतर throughput की संभावना, और restrictive firewalls (443/HTTP-like traffic) से आसान traversal।
  • संदेहवादी कहते हैं कि SSH connection latency शायद ही कभी वास्तविक समस्या होती है, और OpenSSH में पहले से mitigations (ControlMaster) तथा high-performance patches (HPN-SSH) मौजूद हैं।

Comparisons to existing tools

  • Mosh और Eternal Terminal को unreliable networks के लिए mature विकल्पों के रूप में उल्लेखित किया गया है; वे अलग समस्याएँ हल करते हैं (roaming, interactivity) और अधिकांशतः SSHv2 का पुन: उपयोग करते हैं।
  • अन्य मौजूदा approaches: WebSockets पर SSH, QUIC-आधारित experiments, HAProxy/nginx/sslh के माध्यम से port sharing, DNS SSHFP, SSH certificates।

Future SSH “v3” wishes

  • यदि वास्तविक SSHv3 उभरता है, तो टिप्पणीकार चाहते हैं: QUIC transport, SNI-जैसा routing/metadata, बेहतर load-balancing, साफ़ auth integration, और बड़े window sizes—बिना पूर्ण HTTP complexity को अपनाए।