Entwickler des OpenBSD-Projekts veröffentlichen eine tragbare Version des Pakets , innerhalb dessen ein Fork von OpenSSL entwickelt wird, der auf ein höheres Sicherheitsniveau abzielt. Das Projekt LibreSSL fokussiert sich auf die qualitative Unterstützung von SSL/TLS-Protokollen, wobei überflüssige Funktionen entfernt, zusätzliche Sicherheitsmaßnahmen hinzugefügt und eine umfassende Bereinigung und Überarbeitung des Codes vorgenommen wird. Die Veröffentlichung von LibreSSL 3.2.0 wird als experimentell betrachtet, in dem Funktionen entwickelt werden, die in OpenBSD 6.8 integriert werden.
Besonderheiten von LibreSSL 3.2.0:
- Serverteil standardmäßig aktiviert neben dem zuvor angebotenen Clientanteil. Die Implementierung von TLS 1.3 basiert auf einem neuen Endzustandsautomaten und einem Verarbeitungssystem für Aufzeichnungen. Eine mit OpenSSL kompatible TLS 1.3 API ist derzeit nicht verfügbar, aber die OpenSSL-Gruppe hat Optionen hinzugefügt, die mit TLS 1.3 verbunden sind.
- Im Verarbeitungssystem für Aufzeichnungen wurde die Überprüfung der Größen von TLS 1.3-Feldern verbessert, und es wird eine Warnung ausgegeben, falls die Grenzen überschritten werden.
- Der TLS-Server verarbeitet nur gültige Hostnamen im SNI, die den Anforderungen von RFC 5890 und RFC 6066 entsprechen.
- In der Implementierung von TLS 1.3 wurde die Unterstützung des Modus SSL_MODE_AUTO_RETRY für die automatische Wiederholung von Verbindungsaushandlungen hinzugefügt.
- Die Server- und Client-Implementierung von TLS 1.3 unterstützt das Senden von Anfragen zur Überprüfung des Zertifikatsstatus unter Verwendung der Erweiterung. (die durch das Zertifizierungsstelle bestätigte OCSP-Antwort wird vom betreibenden Webserver während der Aushandlung der TLS-Verbindung übermittelt).
- Der Modus SSL_MODE_AUTO_RETRY ist standardmäßig beim Ein- und Ausgabe aktiviert, ähnlich wie in den neuesten Versionen von OpenSSL.
- Regressions-Tests basierend auf. .
- Im Befehl ‚openssl x509‘ wurde die Kennzeichnung ungültiger Zertifikatsgültigkeitszeiten sichergestellt.
- In TLS 1.3 mit RSA ist nur die Verwendung von PSS digitalen Signaturen erlaubt.
Quelle: opennet.ru
