Die Ver\u00f6ffentlichung des LibreSSL-Projekts 4.0.0, eines Forks von OpenSSL, der darauf abzielt, ein h\u00f6heres Sicherheitsniveau und qualitativ hochwertige Unterst\u00fctzung f\u00fcr die Protokolle SSL\/TLS durch die Beseitigung \u00fcberfl\u00fcssiger Funktionalit\u00e4ten, die Hinzuf\u00fcgung zus\u00e4tzlicher Sicherheitsma\u00dfnahmen und eine umfangreiche Bereinigung und \u00dcberarbeitung des Codes zu bieten. Die signifikante Versions\u00e4nderung resultiert aus der Verwendung einer Dezimalnummerierung (nach 3.9 folgt Version 4.0). Die bemerkenswertesten \u00c4nderungen sind: <\/p>\n
- \n
- Erste Unterst\u00fctzung f\u00fcr den Bau mit Emscripten, einem Compiler von C\/C++ nach WebAssembly, hinzugef\u00fcgt.\n
- Dem Befehl 'openssl cms' wurde die Option CRLfile hinzugef\u00fcgt, um zus\u00e4tzliche Zertifikatswiderrufslisten (CRL) anzugeben, die bei der \u00dcberpr\u00fcfung verwendet werden.\n
- Die Unterst\u00fctzung der mips32-Plattform wurde eingestellt.\n
- Der Zugriff auf Funktionen, die in Assembler geschrieben sind, \u00fcber die \u00f6ffentliche API wurde beendet (solche Funktionen werden jetzt nur noch \u00fcber C-Wrapper-Funktionen bereitgestellt). Assembler-Implementierungen veralteter Ciphers f\u00fcr veraltete Architekturen wurden entfernt.\n
- Der Code zum Caching der G\u00fcltigkeit von Zertifikaten wurde entfernt, da dieser nach der Leistungsoptimierung keinen Sinn mehr hatte.\n
- Die Implementierung der X.509v3-Erweiterungen wurde verbessert, die Methoden f\u00fcr X.509v3 wurden vereinheitlicht und die zugeh\u00f6rige API gereinigt.\n
- Die Implementierung des Typs CRYPTO_EX_DATA wurde vollst\u00e4ndig neu geschrieben.\n
- In libcrypto wurden die Funktionen atoi() und strtol() durch strtonum() ersetzt.\n
- Eine Header-Datei crypto_arch.h wurde hinzugef\u00fcgt, in der architekturspezifischer Code ausgelagert wurde.\n
- Die Implementierung des DES-Algorithmus wurde \u00fcberarbeitet und optimiert.\n
- Die Header-Dateien pem2.h, ssl2.h, ssl23.h und ui_compat.h wurden entfernt.\n
- Die Unterst\u00fctzung des Hash-Algorithmus Whirlpool wurde entfernt.\n
- Die Funktionen HMAC_Init(), OPENSSL_load_builtin_modules(), X509_REQ_{get,set}_extension_nids(), X509_check_trust() wurden entfernt.\n
- Die Typen PEM_USER, PEM_CTX, COMP_CTX, COMP_METHOD, X509_CRL_METHOD, STORE, STORE_METHOD und SSL_AEAD_CTX wurden entfernt.\n
- In libssl wurden die Funktionen SSL_CTX_set1_cert_store() und SSL_CIPHER_get_handshake_digest() hinzugef\u00fcgt. <\/ul>\n
Die Version 3.6.0 der Kryptografiebibliothek Botan ist verf\u00fcgbar, die im Projekt NeoPG, einem Fork von GnuPG 2, verwendet wird. Diese Bibliothek bietet eine gro\u00dfe Sammlung von bereitgestellten Primitiven, die in den Protokollen TLS, X.509-Zertifikaten, AEAD-Verschl\u00fcsselungsverfahren, TPM-Modulen, PKCS#11, Passwort-Hashing und post-quanten Kryptographie verwendet werden (Hash-basierte Signaturen und Schl\u00fcsselaustausch basierend auf McEliece). Die Bibliothek ist in C++ geschrieben und unter der BSD-Lizenz verf\u00fcgbar. In der neuen Version: <\/p>\n
- \n
- Eine neue Bibliothek mit kryptografischen Algorithmen basierend auf elliptischen Kurven wurde integriert, deren Operationen auf Basis von Standardkurven 2-3 Mal schneller ausgef\u00fchrt werden. Au\u00dferdem wurde eine neue API f\u00fcr die Low-Level-Arbeit mit elliptischen Kurven angeboten.\n
- Unterst\u00fctzung f\u00fcr die k\u00fcrzlich bei NIST standardisierten post-quanten Verschl\u00fcsselungsalgorithmen wurde hinzugef\u00fcgt: FIPS 203 ML-KEM (Kyber), FIPS 204 ML-DSA (Dilithium) und FIPS 205 SLH-DSA (SPHINCS+).\n
- Die Unterst\u00fctzung f\u00fcr TPM2-Chips wurde erg\u00e4nzt.\n
- Die Nutzung von Berechnungen mit konstanter Ausf\u00fchrungszeit zur Absicherung gegen Seitenkanalangriffe wurde erweitert.\n
- Die Generierung zus\u00e4tzlicher Entropie mithilfe der Bibliothek jitterentropy wurde hinzugef\u00fcgt.\n
- Die Leistung der Verarbeitung von Daten im hexadezimalen Format und in Base64-Kodierung wurde verbessert.\n
- Die Unterst\u00fctzung f\u00fcr die Prozessorerweiterungen AVX2-VAES und GFNI-AVX2 wurde hinzugef\u00fcgt.\n
- Die F\u00e4higkeitserkennung f\u00fcr die CPU-Architekturen armv7, aarch64 und ppc64 auf der OpenBSD-Plattform wurde hinzugef\u00fcgt.\n
- Eine Build-Option zum Deaktivieren aller Inline-Assembly-Insertions wurde hinzugef\u00fcgt. <\/ul>\n
Die Version 0.23.15 des Projekts Rustls, das eine Client- und Serverimplementation der Protokolle TLS1.2 und TLS1.3 f\u00fcr Rust-Projekte entwickelt, ist erschienen. Rustls bietet keine eigene Implementierung kryptografischer Primitiven, sondern nutzt externe Anbieter f\u00fcr kryptografische Funktionen (unterst\u00fctzte Algorithmen sind ECDSA, Ed25519, RSA, ChaCha20-Poly1305, AES128-GCM und AES256-GCM). Standardm\u00e4\u00dfig verwendet Rustls einen auf aws-lc-rs basierenden Kryptoprovider, der von Amazon entwickelt wird und auf dem C++-Code von AWS-LC basiert, der von BoringSSL (einem Fork von OpenSSL, der von Google betreut wird) abgeleitet ist. Auch die Bibliothek ring, die teilweise auf BoringSSL basiert und Code in Assembler, C++ und Rust kombiniert, kann als Kryptoprovider verwendet werden. <\/p>\n
![\"Ver\u00f6ffentlichung](\"\/wp-content\/uploads\/2024\/10\/51b2782d9e3db5f18b710a5cc9e6641b.png\")
![\"Ver\u00f6ffentlichung](\"\/wp-content\/uploads\/2024\/10\/d3e33869768a3f91bf67eede6abe499c.png\")