Die compact kryptografische Bibliothek wolfSSL 5.1.0 wurde veröffentlicht, optimiert für den Einsatz auf eingebetteten Geräten mit begrenzten CPU- und Speicherkapazitäten, wie Internet-of-Things-Geräten, Smart-Home-Systemen, Fahrzeug-INFOTAINMENT-Systemen, Routern und Mobiltelefonen. Der Code ist in C geschrieben und wird unter der GPLv2-Lizenz verteilt.
Die Bibliothek bietet hochleistungsfähige Implementierungen moderner Kryptographiealgorithmen, einschließlich ChaCha20, Curve25519, NTRU, RSA, Blake2b, TLS 1.0-1.3 und DTLS 1.2, die laut den Entwicklern 20-mal kompakter sind als die Implementierungen von OpenSSL. Sie bietet sowohl eine vereinfachte API als auch eine Schicht zur Kompatibilität mit der OpenSSL API. Unterstützung für OCSP (Online Certificate Status Protocol) und CRL (Certificate Revocation List) zur Überprüfung von Zertifikatsrückrufen ist ebenfalls vorhanden.
Die wichtigsten Neuerungen in wolfSSL 5.1.0:
- Unterstützung für Plattformen hinzugefügt: NXP SE050 (mit Unterstützung für Curve25519) und Renesas RA6M4. Für Renesas RX65N/RX72N wurde die Unterstützung für TSIP 1.14 (Trusted Secure IP) hinzugefügt.
- Die Verwendung von Post-Quantum-Kryptografie-Algorithmen wurde im Port für den Apache HTTP-Server hinzugefügt. Für TLS 1.3 wurde das NIST-Round-3-FALCON-Schema der digitalen Signaturen implementiert. Tests von cURL, das mit wolfSSL im Modus zur Anwendung von kryptografischen Algorithmen gebaut wurde, der quantencomputersicher ist, wurden hinzugefügt.
- Für die Kompatibilität mit anderen Bibliotheken und Anwendungen wurde die Unterstützung für NGINX 1.21.4 und Apache httpd 2.4.51 hinzugefügt.
- Im Code für die Kompatibilität mit OpenSSL wurde die Unterstützung für das Flag SSL_OP_NO_TLSv1_2 und die Funktionen SSL_CTX_get_max_early_data, SSL_CTX_set_max_early_data, SSL_set_max_early_data, SSL_get_max_early_data, SSL_CTX_clear_mode, SSL_CONF_cmd_value_type, SSL_read_early_data, SSL_write_early_data hinzugefügt.
- Die Möglichkeit, eine Callback-Funktion zur Ersetzung der integrierten Implementierung des Algorithmus AES-CCM zu registrieren, wurde hinzugefügt.
- Das Makro WOLFSSL_CUSTOM_OID zur Generierung eigener OIDs für CSR (Zertifikatsanforderung) wurde hinzugefügt.
- Unterstützung für deterministische ECC-Signaturen wurde hinzugefügt, die mit dem Makro FSSL_ECDSA_DETERMINISTIC_K_VARIANT aktiviert wird.
- Neue Funktionen wc_GetPubKeyDerFromCert, wc_InitDecodedCert, wc_ParseCert und wc_FreeDecodedCert wurden hinzugefügt.
- Zwei Schwachstellen mit niedrigem Gefährdungsgrad wurden behoben. Die erste Schwachstelle ermöglicht einen DoS-Angriff auf die Client-Anwendung während eines MITM-Angriffs auf die TLS 1.2-Verbindung. Die zweite Schwachstelle bezieht sich auf die Möglichkeit, die Kontrolle über die Wiederherstellung der Client-Sitzung bei Verwendung eines auf wolfSSL basierenden Proxys oder von Verbindungen zu erlangen, die die gesamte Vertrauenskette des Serverzertifikats nicht überprüfen.
Quelle: opennet.ru
