撰写由 OpenBSD 团队开发和维护的 OpenSSH 项目，正式推出了 OpenSSH 10.1。
作为目前最广泛使用的安全远程登录和加密文件传输工具之一，OpenSSH 已成为 Linux 系统、服务器运维、以及企业安全通信中不可或缺的基础组件。新版本现已在官方镜像上开放下载。
🔐 弃用 SHA1，全面转向更安全的 SHA256
本次更新中最重要的变化之一，是宣布即将 弃用 SHA1 SSHFP DNS 记录。
由于 SHA1 算法已被证明存在安全隐患，未来版本中 OpenSSH 将不再接受 SHA1 相关记录。
从现在开始，ssh-keygen -r 命令将仅生成基于 SHA256 的 SSHFP 记录。
这意味着，管理员和开发者需要尽快更新自己的密钥验证流程，以保持兼容性与安全性。
⚠️ 新的量子安全提示机制
OpenSSH 10.1 还加入了一个新特性：当连接使用 非后量子安全（non-post-quantum） 的密钥交换算法时，系统会主动发出警告，提示存在“现在存储，日后破解（store now, decrypt later）”的潜在风险。
这个提示由新的配置选项 WarnWeakCrypto 控制，并且默认启用。
这反映出 OpenSSH 项目正逐步向 抗量子计算攻击 的未来标准靠拢。
🧱 小型安全修复：防止控制字符注入
该版本中还修复了一个轻微但重要的安全问题：
OpenSSH 现在会阻止用户在不可信的命令行或 URI 中输入控制字符到用户名字段中，避免在使用 ProxyCommand 进行用户名扩展时出现 潜在的命令注入漏洞。
这类细节修复虽小，却显著提高了系统的整体防御力。
🚀 改进网络性能：DSCP 优化
OpenSSH 10.1 对网络传输质量（IPQoS）进行了大幅改进：
-
交互式 SSH 流量现在默认使用 “加速转发 (Expedited Forwarding)” 类别，提供更低的延迟体验；
-
非交互式流量（如 SFTP 文件传输）则采用系统默认配置，以平衡带宽使用。
此外，旧的 IPv4 ToS 参数（如 lowdelay、reliability、throughput）已被弃用，改由现代化的 DSCP 标记 机制替代。
🗂️ ssh-agent 更安全：从 /tmp 移到用户目录
ssh-agent 现在会将套接字（socket）存放在 ~/.ssh/agent 目录下，而不再是 /tmp。
这一改动增强了在受限系统（如多用户服务器）上的安全性，防止套接字被其他用户访问。
此外，它还能自动清理旧的套接字，并在证书过期后及时删除对应条目，保持环境整洁安全。
🧩 其他改进与修复
OpenSSH 10.1 还带来了一系列实用增强和 bug 修复：
-
新增 ed25519 密钥 对 PKCS#11 硬件令牌 的支持
-
在
ssh_config中引入RefuseConnection选项，可灵活拒绝连接 -
配置文件大小上限从 256 KB 提升至 4 MB
-
修复了 X 客户端延迟 问题
-
改进密钥加载诊断信息
-
修复多处内存泄漏问题
在可移植版本（portable build）中，还针对 Linux、macOS 和 BSD 进行了兼容性优化，引入了适配 GNOME 40+ 的 askpass 工具，并改进了 PAM 身份验证、seccomp 沙盒机制，以及在 32 位系统上的 futex 支持。
🏢 OpenSSH 在 Linux 与企业环境中的地位
在 Linux 世界中，OpenSSH 几乎是远程运维和安全通信的代名词。
无论是服务器登录、文件同步、自动化部署，还是企业的 CI/CD 流程，OpenSSH 都是最基础、最稳定的连接手段之一。
对企业而言，OpenSSH 的稳定性和安全性直接关系到业务系统的可用性与数据安全。
例如：
-
服务器管理员通过 SSH 远程执行命令与维护系统；
-
开发团队使用 SFTP 安全地传输源代码和构建包；
-
自动化系统（如 Ansible、Jenkins）依赖 SSH 无密码认证实现批量部署。
因此，每次 OpenSSH 的更新，哪怕是微小的安全修复或性能优化，都可能带来企业级系统的长期收益。
📜 总结
OpenSSH 10.1 不仅修复了潜在的安全问题，还在加密算法、网络性能、系统兼容性和未来安全标准方面迈出了坚实一步。
这次更新再次证明，OpenSSH 不只是一个远程登录工具，更是 Linux 安全生态的基石。