Die Veröffentlichung der kryptografischen Bibliothek LibreSSL 3.9.0

Die Entwickler des OpenBSD-Projekts haben die tragbare Version des Pakets LibreSSL 3.9.0 veröffentlicht, das ein Fork von OpenSSL darstellt und auf die Gewährleistung eines höheren Sicherheitsniveaus abzielt. Das LibreSSL-Projekt konzentriert sich auf eine qualitativ hochwertige Unterstützung der SSL/TLS-Protokolle, indem es überflüssige Funktionalitäten entfernt, zusätzliche Schutzmaßnahmen hinzufügt und eine umfassende Bereinigung und Umstrukturierung des Codes durchführt. Die Version LibreSSL 3.9.0 wird als experimentell angesehen, in der Funktionen entwickelt werden, die in OpenBSD 7.5 integriert werden. Gleichzeitig wurde die stabile Version LibreSSL 3.8.3 veröffentlicht, in der mehrere spezifische Windows-Fehler behoben und die Unterstützung des Schutzmechanismus CET (Control-flow Enforcement Technology) verstärkt wurde.

Besonderheiten von LibreSSL 3.9.0:

• Unterstützung für ECDSA-Signaturalgorithmen mit SHA-3-Hashes hinzugefügt.
• Unterstützung für HMAC mit abgeschnittenen SHA-2- und SHA-3-Hashes als PBE PRF hinzugefügt.
• Änderungen zur Verbesserung der Portabilität auf andere Plattformen vorgenommen. Um Probleme beim statischen Binden zu vermeiden, sind die meisten exportierten Symbole von LibreSSL, die zur Gewährleistung der Kompatibilität verwendet werden, mit dem Präfix „libressl_“ versehen. In CMake-basierten Builds wurde der Export von Kompatibilitätssymbolen von libcrypto eingestellt.
• Änderungen zur Verbesserung der Kompatibilität mit OpenSSL vorgenommen. Beispielsweise wurden Aliasnamen ChaCha20 und chacha20 für den ChaCha-Algorithmus hinzugefügt, die Funktionsweise der Funktionen SSL_library_init() und OPENSSL_init_ssl() vereinheitlicht und die Aufrufe EVP_{CIPHER,MD}_CTX_init() an das Verhalten von OpenSSL angepasst.
• In das Tool openssl wurden die Flags „-new -force_pubkey“, „-multivalue-rdn“, „-set_issuer“, „-set_subject“ und „-utf8“ hinzugefügt.
• Wechsel von der Verwendung des Aufrufs OBJ_bsearch_() zur Standardfunktion bsearch() vollzogen.
• Die Implementierung der Funktion by_file_ctrl(), EVP_Cipher{Init,Update,Final}() und der API OBJ_* vereinfacht.
• Eine umfassende Umstrukturierung der API EVP wurde durchgeführt. Die Funktionen EVP_add_{cipher,digest}() wurden entfernt.
• Die Verarbeitung von X509_TRUST wurde vereinfacht.
• Die Funktionen BIO_dump*() wurden neu geschrieben.
• Die Unterstützung globaler Tabellen, die nicht für die Mehrfachverwendung angepasst sind, wurde eingestellt. In diesem Zusammenhang wird nun die Zuordnung von Aliasnamen zu Chiffren und Hashes sowie das Hinzufügen eigener Zeichenfolgen, Methoden für ASN.1, PKEY und CRL nicht mehr unterstützt.
• Die Funktionen BIO_set(), BIO_{sn,v,vsn}printf(), sk_find_ex() und OBJ_bsearch_() sowie zahlreiche veraltete Funktionen der CRYPTO-API wurden entfernt.
• Der öffentliche Zugang zur API X509_CERT_AUX und X509_TRUST wurde eingestellt.
• Die Unterstützung für die Algorithmen GOST und STREEBOG wurde eingestellt.
• Die Unterstützung für den Mechanismus CET (Control-flow Enforcement Technology) wurde erweitert, der zum Schutz vor der Ausführung von Exploits dient, die mit Techniken der Rücksprungorientierten Programmierung (ROP, Return-Oriented Programming) erstellt wurden.

Quelle: opennet.ru