Разработчиците на проекта OpenBSD представиха изданието на преносимата версия на пакета LibreSSL 3.9.0, в рамките на което се развива форк на OpenSSL, насочен към осигуряване на по-високо ниво на безопасност. Проектът LibreSSL е ориентиран към качествена поддръжка на протоколите SSL/TLS, с премахване на излишната функционалност, добавяне на допълнителни средства за защита и провеждане на значителна почистване и преработка на кодовата база. Изданието LibreSSL 3.9.0 се разглежда като експериментално, в което се развиват възможности, които ще влязат в състава на OpenBSD 7.5. В същото време е създаден стабилен релийз на LibreSSL 3.8.3, в който са поправени няколко специфични за Windows грешки и е засилена поддръжката на механизма за защита CET (Control-flow Enforcement Technology).
Характеристики на LibreSSL 3.9.0:
- Добавена е поддръжка за алгоритми за цифрово подписване на базата на ECDSA с хешове SHA-3.
- Добавена е поддръжка за HMAC с усечени хешове SHA-2 и SHA-3 като PBE PRF.
- Направени са промени за подобряване на преносимостта на други платформи. За избягване на проблеми при статично свързване, по-голямата част от използваните за осигуряване на съвместимост експортирани символи LibreSSL са снабдени с префикса „libressl_“. В сборките, базирани на CMake, е прекратен експортът на compat-символи libcrypto.
- Направени са промени, насочени към подобряване на съвместимостта с OpenSSL. Например, добавени са псевдоними за ChaCha20 и chacha20 за алгоритъма ChaCha, унифицирано е поведението на функциите SSL_library_init() и OPENSSL_init_ssl(), приведени са повикванията EVP_{CIPHER,MD}_CTX_init() към поведението на OpenSSL.
- В утилитата openssl е добавена поддръжка за флаговете „-new -force_pubkey“, „-multivalue-rdn“, „-set_issuer“, „-set_subject“ и „-utf8“.
- Извършен е преход от използването на повикването OBJ_bsearch_() към стандартната функция bsearch().
- Оптимизирана е реализацията на функциите by_file_ctrl(), EVP_Cipher{Init,Update,Final}() и API OBJ_*.
- Извършена е значителна реорганизация на API EVP. Премахнати са функциите EVP_add_{cipher,digest}().
- Оптимизирана е обработката на X509_TRUST.
- Преписани са функциите BIO_dump*().
- Прекратена е поддръжката на глобални таблици, не адаптирани за многопоточна употреба. По отношение на това, сега не се поддържа назначаването на псевдоними на шифри и хешове, добавянето на собствени стрингове, методи за ASN.1, PKEY и CRL.
- Премахнати са функциите BIO_set(), BIO_{sn,v,vsn}printf(), sk_find_ex() и OBJ_bsearch_(), а също и множество остарели функции от API CRYPTO.
- Прекратен е публичният достъп до API X509_CERT_AUX и X509_TRUST.
- Прекратена е поддръжката на алгоритмите GOST и STREEBOG.
- Разширена поддръжка на механизма CET (Control-flow Enforcement Technology), използван за защита срещу изпълнение на експлоити, изградени с помощта на техники за възвратно-ориентирано програмиране (ROP, Return-Oriented Programming).
Източник: opennet.ru
