La organización ISRG (Grupo de Investigación de Seguridad de Internet), que es la fundadora del proyecto Let's Encrypt y promueve el desarrollo de tecnologías para mejorar la seguridad en Internet, ha anunciado la publicación de la capa rustls-openssl-compat, que permite usar la biblioteca Rustls como un reemplazo transparente de OpenSSL. Actualmente, el proyecto ha proporcionado una implementación de rustls-libssl que garantiza la compatibilidad con libssl, y se está desarrollando la implementación de libcrypto.
La funcionalidad presente en la capa es suficiente para hacer funcionar nginx basado en Rustls. Para trasladar nginx a Rustls, solo es necesario reemplazar las bibliotecas, sin necesidad de recompilar o cambiar nginx. Entre los planes más cercanos para el desarrollo de Rustls se destacan la optimización del rendimiento en áreas donde Rustls aún se queda atrás de OpenSSL, y asegurar soporte para la RFC 8879 para la compresión de certificados. Además, en el anuncio se menciona el plan de trasladar elementos de infraestructura del centro de certificación Let's Encrypt de OpenSSL a Rustls.
El proyecto Rustls desarrolla implementaciones de cliente y servidor de los protocolos TLS1.2 y TLS1.3 para su uso en aplicaciones escritas en Rust. Rustls no proporciona su propia implementación de primitivas criptográficas, sino que utiliza proveedores de funciones criptográficas (se admiten los algoritmos ECDSA, Ed25519, RSA, ChaCha20-Poly1305, AES128-GCM y AES256-GCM). Por defecto, Rustls utiliza un proveedor criptográfico basado en la biblioteca aws-lc-rs, que es desarrollada por Amazon y se basa en el código en C++ de BoringSSL, mantenido por un fork de Google de OpenSSL. También se puede utilizar la biblioteca ring como proveedor criptográfico, que se basa parcialmente en BoringSSL y combina código en ensamblador, C++ y Rust.
Es notable que nginx tiene soporte incorporado para compilar con BoringSSL, lo que permite usar esta biblioteca directamente sin capas adicionales. Además del soporte incorporado de Rustls para las bibliotecas aws-lc-rs y ring, basadas en el código de BoringSSL, también se están desarrollando varios proveedores criptográficos de terceros para Rustls que permiten utilizar las bibliotecas mbedtls (código en C), BoringSSL (C++) y RustCrypto (Rust).
Fuente: opennet.ru
