Organisationen ISRG (Internet Security Research Group), som er stifter af projektet Let’s Encrypt og fremmer udviklingen af teknologier til at forbedre internetsikkerheden, har annonceret publiceringen af rustls-openssl-compat-laget, som muliggør brugen af Rustls-biblioteket som en gennemsigtig erstatning for OpenSSL. I øjeblikket tilbyder projektet en implementering af rustls-libssl, som sikrer kompatibilitet med libssl, og der er en implementering af libcrypto under udvikling.
Den funktionalitet, der er tilstede i laget, er tilstrækkelig til at sikre, at nginx kører på Rustls. For at overføre nginx til Rustls skal man blot udskifte bibliotekerne uden behov for at ombygge eller ændre nginx. Nogle af de nærmeste planer for udviklingen af Rustls inkluderer optimering af ydeevnen på områder, hvor Rustls endnu halter bagefter OpenSSL, samt at sikre support for RFC 8879 til komprimering af certifikater. Derudover nævnes det i meddelelsen, at der er planer om at overføre elementer af infrastrukturen fra Let’s Encrypt-certifikatet fra OpenSSL til Rustls.
Rustls-projektet udvikler klient- og serverimplementeringer af TLS1.2 og TLS1.3 protokoller til brug i applikationer skrevet i Rust. Rustls tilbyder ikke sin egen implementering af kryptografiske primitive, men anvender plug-in kryptografiudbydere (supports algoritmer som ECDSA, Ed25519, RSA, ChaCha20-Poly1305, AES128-GCM og AES256-GCM). Som standard anvender Rustls en kryptoudbyder baseret på aws-lc-rs-biblioteket, som udvikles af Amazon og er baseret på C++-koden fra BoringSSL, der vedligeholdes af Google’s fork af OpenSSL. Desuden kan ring-biblioteket, som delvist er baseret på BoringSSL og kombinerer kode skrevet i assembler, C++ og Rust, også anvendes som kryptoudbyder.
Det er bemærkelsesværdigt, at nginx har indbygget støtte til at blive bygget med BoringSSL, hvilket muliggør brugen af dette bibliotek direkte uden unødvendige lag. Udover den indbyggede støtte i Rustls for aws-lc-rs og ring-bibliotekerne baseret på BoringSSL-kode, udvikles der også nogle tredjeparts kryptoudbydere for Rustls, som muliggør brugen af mbedtls (C-kode), BoringSSL (C++) og RustCrypto (Rust).
Kilde: opennet.ru
