Byla vydána knihovna OpenSSL 4.0.0, která nabízí implementaci protokolů TLS a různých šifrovacích algoritmů. OpenSSL 4.0 je zařazena mezi verze s běžnou dobou podpory, kde jsou aktualizace vydávány po dobu 13 měsíců. Podpora předchozích větví OpenSSL 3.6, 3.5 LTS, 3.4 a 3.0 LTS potrvá do listopadu 2026, dubna 2030, října 2026 a září 2026 соответственно. Kód projektu je distribuován pod licencí Apache 2.0.
Hlavní novinky:
- Byla přidána podpora pro TLS rozšíření ECH (Encrypted ClientHello, RFC 9849), určené k šifrování informací o parametrech TLS sezení, jako je požadované doménové jméno. Na rozdíl od rozšíření ESNI (Encrypted Server Name Indication) se v ECH šifruje celé TLS zpráva ClientHello, což umožňuje blokovat úniky přes pole, která ESNI nezahrnuje, například pole PSK (Pre-Shared Key).
- Byla přidána podpora pro algoritmy definované v RFC 8998, které používají ve standardizovaném souboru kryptografických algoritmů SM2 v Číně: algoritmus pro vytváření digitálního podpisu sm2sig_sm3, skupinu pro výměnu klíčů curveSM2 a postkvantovou skupinu curveSM2MLKEM768.
- Byla přidána kryptografická funkce hashování cSHAKE, založená na algoritmu SHA-3, která umožňuje vytvářet různé hashe na základě stejných vstupních dat pro ochranu před útoky, které manipulují s opětovným použitím dat.
- Byl přidán hybridní algoritmus 'ML-DSA-MU', který kombinuje postkvantový algoritmus pro vytváření digitálního podpisu ML-DSA (CRYSTALS-Dilithium) s klasickou hashovací funkcí SHAKE256.
- Byla přidána podpora pro funkce vytváření klíčů SNMP KDF založené na HMAC-SHA a SRTP KDF založené na AES-CM, které se používají v síťových protokolech SNMPv3 a SRTP pro vytváření kryptografických klíčů.
- Do příkazu 'openssl fipsinstall' byla přidána volba '-defer_tests', která umožňuje odložit spuštění testů při instalaci FIPS modulů.
- Pro platformu Windows byla implementována podpora pro statické nebo dynamické vázání na Visual C++ Runtime.
- V TLS 1.2 byla přidána podpora dohodování výměny klíčů na základě algoritmu FFDHE, odpovídajícího RFC 7919.
- Byla ukončena podpora SSLv3 a SSLv2 Client Hello.
- Byla odstraněna podpora dynamicky načítaných modulů, místo toho pro rozšíření funkcionality OpenSSL je třeba používat koncept připojitelných poskytovatelů.
- Podpora zastaralých eliptických křivek byla v TLS na fázi kompilace vypnuta. Pro její opětovné zapnutí lze použít volbu «enable-tls-deprecated-ec».
- Byla odstraněna utility c_rehash, místo které je třeba použít příkaz «openssl rehash».
- Z příkazu «openssl ca» byla odstraněna zastaralá volba «msie-hack».
- Byla odstraněna podpora vlastních metod EVP_CIPHER, EVP_MD, EVP_PKEY a EVP_PKEY_ASN1.
- Byly odstraněny zastaralé funkce SSL/TLS spojené s pevně danými verzemi protokolů, například «TLSv1_client_method()».
- Byly odstraněny zastaralé funkce ERR_get_state(), ERR_remove_state() a ERR_remove_thread_state().
- Podpora cílových platforem darwin-i386{,-cc} a darwin-ppc{,64}{,-cc} byla ukončena.
Zdroj: opennet.ru
