Die neue Version der kompakten Kryptografiebibliothek wolfSSL 5.0.0 ist verfügbar. Sie wurde für den Einsatz auf eingebetteten Geräten mit begrenzten Ressourcen in Bezug auf Prozessor und Speicher optimiert, wie zum Beispiel IoT-Geräte, Smart-Home-Systeme, Infotainment-Systeme in Autos, Router und Mobiltelefone. Der Code ist in der Programmiersprache C geschrieben und wird unter der GPLv2-Lizenz vertrieben.
Die Bibliothek bietet leistungsstarke Implementierungen moderner Kryptoalgorithmen, einschließlich ChaCha20, Curve25519, NTRU, RSA, Blake2b, TLS 1.0-1.3 und DTLS 1.2, die laut den Entwicklern 20 Mal kompakter sind als die Implementierungen von OpenSSL. Sie bietet sowohl eine eigene vereinfachte API als auch eine Schicht zur Kompatibilität mit der OpenSSL-API. Darüber hinaus wird OCSP (Online Certificate Status Protocol) und CRL (Certificate Revocation List) zur Überprüfung des Status von Zertifikaten unterstützt.
Hauptneuheiten von wolfSSL 5.0.0:
- Unterstützung für Plattformen hinzugefügt: IoT-Safe (mit TLS-Unterstützung), SE050 (mit Unterstützung für RNG, SHA, AES, ECC und ED25519) und Renesas TSIP 1.13 (für RX72N-Mikrocontroller).
- Die Unterstützung von postquantumkryptografischen Algorithmen wurde hinzugefügt, die gegen Angriffe auf Quantencomputern resistent sind: NIST Round 3 KEM Gruppen für TLS 1.3 und hybride NIST ECC Gruppen basierend auf dem OQS-Projekt (Open Quantum Safe, liboqs). Diese Gruppen sind ebenfalls in die Schicht zur Gewährleistung der Kompatibilität integriert. Die Unterstützung der Algorithmen NTRU und QSH wurde eingestellt.
- Im Kernel-Modul für Linux wurde die Unterstützung für kryptografische Algorithmen implementiert, die dem Sicherheitsstandard FIPS 140-3 entsprechen. Ein separates Produkt mit der Implementierung von FIPS 140-3 wird vorgestellt, dessen Code sich derzeit in der Test-, Prüfungs- und Validierungsphase befindet.
- Im Kernel-Modul für Linux wurden Optionen für die Algorithmen RSA, ECC, DH, DSA, AES/AES-GCM hinzugefügt, die mithilfe von Vektor-Anweisungen auf x86-CPUs beschleunigt wurden. Auch die Interrupt-Handler wurden durch diese Vektor-Anweisungen beschleunigt. Die Unterstützung eines Subsystems zur Überprüfung von Modulen anhand digitaler Signaturen wurde hinzugefügt. Es besteht die Möglichkeit, die eingebettete Kryptobibliothek wolfCrypt im Modus "—enable-linuxkm-pie" (positionsunabhängig) zu kompilieren. Das Modul unterstützt die Linux-Kernel-Versionen 3.16, 4.4, 4.9, 5.4 und 5.10.
- Zur Gewährleistung der Kompatibilität mit anderen Bibliotheken und Anwendungen wurde die Unterstützung für libssh2, pyOpenSSL, libimobiledevice, rsyslog, OpenSSH 8.5p1 und Python 3.8.5 hinzugefügt.
- Eine Vielzahl neuer APIs wurde hinzugefügt, darunter EVP_blake2, wolfSSL_set_client_CA_list, wolfSSL_EVP_sha512_256, wc_Sha512*, EVP_shake256, SSL_CIPHER_* und SSL_SESSION_*.
- Zwei als unkritisch eingestufte Sicherheitsanfälligkeiten wurden behoben: Ein Hängenbleiben beim Erstellen von DSA digitalen Signaturen mit bestimmten Parametern und eine fehlerhafte Überprüfung von Zertifikaten mit mehreren alternativen Objektnamen bei Verwendung von namensbezogenen Einschränkungen.
Quelle: opennet.ru
