Los desarrolladores del proyecto OpenBSD han presentado una versión portátil del paquete LibreSSL 3.9.0, en el marco de la cual se desarrolla un fork de OpenSSL, dirigido a proporcionar un mayor nivel de seguridad. El proyecto LibreSSL está enfocado en brindar un soporte de calidad para los protocolos SSL/TLS, eliminando funcionalidades innecesarias, añadiendo medidas de protección adicionales y realizando una limpieza y reestructuración significativa de la base de código. La versión LibreSSL 3.9.0 se considera experimental, en la que se desarrollan capacidades que formarán parte de OpenBSD 7.5. Al mismo tiempo, se ha formado una versión estable de LibreSSL 3.8.3, en la que se han corregido varios errores específicos de Windows y se ha mejorado el soporte del mecanismo de protección CET (Control-flow Enforcement Technology).
Características de LibreSSL 3.9.0:
- Se ha añadido soporte para algoritmos de firma digital basados en ECDSA con hash SHA-3.
- Se ha añadido soporte para HMAC con hashes truncados SHA-2 y SHA-3 como PBE PRF.
- Se han realizado cambios para mejorar la portabilidad en otras plataformas. Para evitar problemas al enlazar estáticamente, la mayoría de los símbolos exportados de LibreSSL utilizados para garantizar la compatibilidad están precedidos por el prefijo 'libressl_'. En las compilaciones basadas en CMake, se ha detenido la exportación de símbolos de compatibilidad de libcrypto.
- Se han realizado cambios dirigidos a mejorar la compatibilidad con OpenSSL. Por ejemplo, se han añadido nombres alternativos ChaCha20 y chacha20 para el algoritmo ChaCha, unificada la operación de las funciones SSL_library_init() y OPENSSL_init_ssl(), y ajustadas las llamadas EVP_{CIPHER,MD}_CTX_init() al comportamiento de OpenSSL.
- Se ha añadido soporte para las banderas '-new -force_pubkey', '-multivalue-rdn', '-set_issuer', '-set_subject' y '-utf8' en la utilidad openssl.
- Se ha realizado el cambio de la llamada a OBJ_bsearch_() a la función estándar bsearch().
- Se ha simplificado la implementación de la función by_file_ctrl(), EVP_Cipher{Init,Update,Final}() y la API OBJ_*.
- Se ha llevado a cabo una gran reorganización de la API EVP. Se han eliminado las funciones EVP_add_{cipher,digest}().
- Se ha simplificado el manejo de X509_TRUST.
- Se han reescrito las funciones BIO_dump*().
- Se ha descontinuado el soporte para tablas globales no adaptadas para uso multihilo. En consecuencia, ahora no se admite la asignación de alias a cifrados y hashes, la adición de cadenas personalizadas, métodos ASN.1, PKEY y CRL.
- Se han eliminado las funciones BIO_set(), BIO_{sn,v,vsn}printf(), sk_find_ex() y OBJ_bsearch_(), así como muchas funciones obsoletas de la API CRYPTO.
- Se ha terminado el acceso público a la API X509_CERT_AUX y X509_TRUST.
- Se ha descontinuado el soporte para los algoritmos GOST y STREEBOG.
- Se ha ampliado el soporte del mecanismo CET (Control-flow Enforcement Technology), utilizado para proteger contra la ejecución de exploits que utilizan técnicas de programación orientada a la devolución (ROP, Return-Oriented Programming).
Fuente: opennet.ru
