Die neueste Version der freie SSH-Implementierung wird theoretisch immer sicherer.
Version 7.0 von OpenSSH wurde veröffentlicht. Darin haben die Entwickler einige zum Teil schwerwiegende Probleme behoben. So war kürzlich bekannt geworden, dass Angreifer unter Umständen bei einer Verbindung im Rahmen einer Brute-Force-Attacke eine Vielzahl von Passwörtern ausprobieren können, obwohl die Konfiguration diese mutmaßlich über die Anweisung MaxAuthTries beschränkte. Diese Sicherheitslücke ist in OpenSSH 7.0 geschlossen. Eine weitere jetzt behobene Sicherheitslücke hat in den OpenSSH-Versionen 6.8 und 6.9 dazu geführt, dass lokale Benutzer auf die Pseudo-Terminals von SSH-Anwendern schreiben konnten.
Der Support für die SSH-Protokoll-Version 1.0 ist in OpenSSH 7.0 per Default abgeschaltet, ebenso wie diverse als unsicher geltende Krypto-Algorithmen respektive Schlüssellängen. Für die kommende OpenSSH-Version kündigen die Entwickler bereits das Abschalten weiterer Kryptoverfahren an, damit sich die Anwender darauf einstellen können. Dies sind etwa RSA-Schlüssel mit weniger als 1024 Bit, Blowfish-CBC, Cast128-CBC, Arcfour und Rijndael-CBC. Auch hasbhasierte Message-Authentifizierung mit MD5 wird dann abschaltet werden.