Udgivelsen af den kryptografiske bibliotekswolfSSL 5.1.0

Udgivelsen af den kompakte kryptografiske biblioteks wolfSSL 5.1.0 er klar, optimeret til brug på indlejrede enheder med begrænsede CPU- og hukommelsesressourcer, såsom internet-of-things-enheder, smarte hjemsystemer, bilinformation systemer, routere og mobiltelefoner. Koden er skrevet i C og distribueres under GPLv2-licensen.

Biblioteket tilbyder højtydende implementationer af moderne kryptografiske algoritmer, herunder ChaCha20, Curve25519, NTRU, RSA, Blake2b, TLS 1.0-1.3 og DTLS 1.2, som ifølge udviklerne er 20 gange mere kompakte end implementationer fra OpenSSL. Det tilbydes både med sit eget forenklede API og en lag til kompatibilitet med OpenSSL API. Der er hukommelse for OCSP (Online Certificate Status Protocol) og CRL (Certificate Revocation List) til kontrol af certifikatoplysninger.

De vigtigste nyheder i wolfSSL 5.1.0:

• Support til platforme: NXP SE050 (med støtte for Curve25519) og Renesas RA6M4. For Renesas RX65N/RX72N er der tilføjet støtte for TSIP 1.14 (Trusted Secure IP).
• Muligheden for at bruge post-kvantum kryptografialgoritmer er tilføjet i porten til Apache http-serveren. For TLS 1.3 er der implementeret signaturordning NIST round 3 FALCON. Tilsvarende cURL-tests, bygget med wolfSSL i kryptografianvendelsestilstand, der er modstandsdygtig over for kvantecomputere.
• Der er tilføjet support til NGINX 1.21.4 og Apache httpd 2.4.51 i lag til at sikre kompatibilitet med andre biblioteker og applikationer.
• Koden til kompatibilitet med OpenSSL har fået tilføjet støtte til flaget SSL_OP_NO_TLSv1_2 samt funktionerne SSL_CTX_get_max_early_data, SSL_CTX_set_max_early_data, SSL_set_max_early_data, SSL_get_max_early_data, SSL_CTX_clear_mode, SSL_CONF_cmd_value_type, SSL_read_early_data, SSL_write_early_data.
• Mulighed for registrering af en callback-funktion til at erstatte den indbyggede implementering af AES-CCM-algoritmen er tilføjet.
• Der er tilføjet makroen WOLFSSL_CUSTOM_OID til generering af egne OID'er til CSR (certificate signing request).
• Support til deterministiske ECC-signaturer, aktiveret af makroen FSSL_ECDSA_DETERMINISTIC_K_VARIANT, er tilføjet.
• Nye funktioner wc_GetPubKeyDerFromCert, wc_InitDecodedCert, wc_ParseCert og wc_FreeDecodedCert er tilføjet.
• To sårbarheder med lav risiko er blevet rettet. Den første sårbarhed muliggør en DoS-angreb på klientapplikationen under en MITM-angreb på TLS 1.2-forbindelsen. Den anden sårbarhed er relateret til risikoen for at få kontrol over genoptagelsen af klienten, når der bruges en proxy baseret på wolfSSL eller forbindelser, der ikke verificerer hele tillidskæden for serverens certifikat.

Kilde: opennet.ru