Vabastatud on OpenSSL 4.0.0 teek, mis toetab TLS-protokollide ja erinevate krüpteerimise algoritmide realiseerimist. OpenSSL 4.0 kuulub tavapärase pikaajalise toe versioonide hulka, mille uuendusi antakse välja 13 kuu jooksul. Eelmiste versioonide OpenSSL 3.6, 3.5 LTS, 3.4 ja 3.0 LTS tugi kestab vastavalt kuni novembri 2026, aprilli 2030, oktoobri 2026 ja septembri 2026 küsimiseni. Projekti kood on litsentseeritud Apache 2.0 alusel.
Peamised uuendused:
- Lisatud on tugi TLS-i laienduse ECH (Encrypted ClientHello, RFC 9849) jaoks, mis on mõeldud TLS-seansside parameetrite, nagu nõutud domeeninimi, teabe krüpteerimiseks. Erinevalt ESNI laiendusest (Encrypted Server Name Indication) krüpteeritakse ECH-is terve ClientHello TLS-sõnum, mitte üksikute väljade tasandil, mis võimaldab blokeerida leket läbi väljade, mida ESNI ei hõlma, näiteks PSK (Pre-Shared Key) väli.
- Lisatud on tugi RFC 8998-s määratletud algoritmidele, mis kasutavad Hiinas standardiseeritud SM2 krüptograafiliste algoritmide kogumit: digitaalse allkirja moodustamise algoritm sm2sig_sm3, võtmete vahetuse grupp curveSM2 ja postkvantgrupp curveSM2MLKEM768.
- Lisatud on cSHAKE krüptograafiline hashimise funktsioon, mis põhineb SHA-3 algoritmil ja võimaldab luua erinevaid häshe sarnaste sisendandmete põhjal, kaitstes andmete taaskasutamise rünnakute eest.
- Lisatud on hübriidne algoritm „ML-DSA-MU“, mis kombineerib postkvantse digitaalallkirja loomise algoritmi ML-DSA (CRYSTALS-Dilithium) klassikalise hash-funktsiooniga SHAKE256.
- Lisatud on SNMP KDF võtme loomise funktsioonide tugi HMAC-SHA põhjal ja SRTP KDF AES-CM põhjal, mida kasutatakse võrguprotokollides SNMPv3 ja SRTP krüptograafiliste võtmete genereerimiseks.
- Käsku „openssl fipsinstall“ on lisatud valik „-defer_tests“, mis võimaldab FIPS-modulite installimise testide käivitamist edasi lükata.
- Windowsi platvormil on ellu viidud tugi staatilise või dünaamilise sidumise kasutamiseks Visual C++ Runtime-iga.
- TLS 1.2-s on lisatud tugi võtme vahetamise läbirääkimistele FFDHE algoritmi põhjal, mis vastab RFC 7919-le.
- SSLv3 ja SSLv2 Client Hello toe lõpetamine.
- Dünaamiliselt laaditavate mootorite tugi on eemaldatud, edaspidiseks OpenSSL-i funktsionaalsuse laiendamiseks tuleks kasutada liideseid.
- TLS-i kompileerimise etapis on sisse lülitatud vananenud elliptiliste kõverate tugi. Tagasi pöördumiseks saate kasutada valikut «enable-tls-deprecated-ec».
- Käsku c_rehash on eemaldatud, selle asemel tuleb kasutada käsku «openssl rehash».
- Käsk «openssl ca» on vananenud valiku «msie-hack» eemaldanud.
- Eemaldatud on kohandatud meetodid EVP_CIPHER, EVP_MD, EVP_PKEY ja EVP_PKEY_ASN1.
- Eemaldatud on vananenud SSL/TLS funktsioonid, mis on seotud kindlate protokolliversioonidega, näiteks «TLSv1_client_method()».
- Eemaldatud on vananenud funktsioonid ERR_get_state(), ERR_remove_state() ja ERR_remove_thread_state().
- Support for target platforms darwin-i386{,-cc} and darwin-ppc{,64}{,-cc} has been discontinued.
Allikas: opennet.ru
