Der er sket en frigivelse af OpenSSL 4.0.0, som tilbyder implementering af TLS-protokoller og forskellige kryptografiske algoritmer. OpenSSL 4.0 er klassificeret som en version med almindelig support, hvor opdateringer udsendes i en periode på 13 måneder. Støtten til tidligere versioner OpenSSL 3.6, 3.5 LTS, 3.4 og 3.0 LTS vil fortsætte indtil november 2026, april 2030, oktober 2026 og september 2026 henholdsvis. Projektkoden distribueres under Apache 2.0 licensen.
Hovednyheder:
- Tilføjet support for TLS-udvidelsen ECH (Encrypted ClientHello, RFC 9849), der er designet til at kryptere information om TLS-sessionernes parametre, såsom det anmodede domænenavn. I modsætning til ESNI-udvidelsen (Encrypted Server Name Indication) krypteres hele TLS-beskeden ClientHello i ECH, hvilket forhindrer lækager gennem felter, der ikke dækkes af ESNI, for eksempel PSK-feltet (Pre-Shared Key).
- Tilføjet support for algoritmer defineret i RFC 8998, der bruger det standardiserede sæt af kryptografiske algoritmer SM2 fra Kina: algoritmen til generering af digitale signaturer sm2sig_sm3, key exchange group curveSM2 og post-kvantum-gruppen curveSM2MLKEM768.
- Tilføjet kryptografisk hash-funktion cSHAKE, baseret på SHA-3 algoritmen, der muliggør oprettelse af forskellige hashes baseret på de samme inputdata for at beskytte mod angreb, der manipulerer genbrug af data.
- Tilføjet hybridalgoritmen 'ML-DSA-MU', der kombinerer den post-kvantum digitale signaturalgoritme ML-DSA (CRYSTALS-Dilithium) med den klassiske hash-funktion SHAKE256.
- Tilføjet support for nøglegenereringsfunktioner SNMP KDF baseret på HMAC-SHA og SRTP KDF baseret på AES-CM, der anvendes i netværksprotokoller SNMPv3 og SRTP til at skabe kryptografiske nøgler.
- Til 'openssl fipsinstall'-kommandoen er der tilføjet en mulighed '-defer_tests', som giver mulighed for at udsætte kørsel af tests under installation af FIPS-moduler.
- For Windows-platformen er der implementeret support til brug af statisk eller dynamisk binding med Visual C++ Runtime.
- I TLS 1.2 er der tilføjet support for nøgleudvekslingsforhandling baseret på FFDHE-algoritmen, svarende til RFC 7919.
- Støtten til SSLv3 og SSLv2 Client Hello er ophævet.
- Supporten for dynamisk indlæste motorer er fjernet, i stedet for hvilke tilføjelser til OpenSSLs funktionalitet bør anvende konceptet med plugin-udbydere.
- I TLS er understøttelsen af forældede elliptiske kurver deaktiveret under kompileringen. Du kan bruge indstillingen «enable-tls-deprecated-ec» for at genaktivere det.
- Værktøjet c_rehash er fjernet, og i stedet skal kommandoen «openssl rehash» bruges.
- Den forældede indstilling «msie-hack» er fjernet fra kommandoen «openssl ca».
- Understøttelsen af egne metoder EVP_CIPHER, EVP_MD, EVP_PKEY og EVP_PKEY_ASN1 er fjernet.
- Forældede SSL/TLS-funktioner, der er bundet til faste versioner af protokoller, som f.eks. «TLSv1_client_method()», er fjernet.
- De forældede funktioner ERR_get_state(), ERR_remove_state() og ERR_remove_thread_state() er fjernet.
- Understøttelsen af målplatforme darwin-i386{,-cc} og darwin-ppc{,64}{,-cc} er ophørt.
Kilde: opennet.ru
