OpenBSD projekti arendajad on tutvustanud kantavate LibreSSL 3.9.0 versiooni, mille raames arendatakse OpenSSL'i forki, mille eesmärk on tagada kõrgem turvalisuse tase. LibreSSL projekt keskendub SSL/TLS protokollide kvaliteetsele toetusele, eemaldades liigsed funktsioonid, lisades täiendavaid kaitsevahendeid ning teostades ulatuslikku koodi puhastamist ja ümbertöötlemist. LibreSSL 3.9.0 väljaanne on eksperimenteerimise etapis, kus arendatakse võimalusi, mis jõuavad OpenBSD 7.5 koosseisu. Samuti on välja antud stabiilne LibreSSL 3.8.3 väljaanne, mis lahendab mitmeid Windows-spetsiifilisi vigu ja tugevdab CET (Control-flow Enforcement Technology) kaitsemehhanismi toetust.
LibreSSL 3.9.0 omadused:
- Lisatud toetus ECDSA digitaalallkirjastusalgoritmidele SHA-3 hash'idega.
- Lisatud HMAC tugi kärbitud SHA-2 ja SHA-3 hash'idega PBE PRF-na.
- Tegime muudatusi, et parandada ühilduvust teiste platvormidega. Probleemide vältimiseks staatilise linkimise puhul on enamik LibreSSL-i ühilduvuse tagamiseks eksporditud sümboleid varustatud etteütlemisega «libressl_». CMake'i põhjaliste ehituste puhul lõpetati compat-sümbolite libcrypto eksportimine.
- Tehtud muudatused, et parandada ühilduvust OpenSSL-iga. Näiteks on lisatud ChaCha algoritmile nimekujud ChaCha20 ja chacha20, ühtlustatud SSL_library_init() ja OPENSSL_init_ssl() funktsioonide tööd, viidud EVP_{CIPHER,MD}_CTX_init() kutsed vastavusse OpenSSL-i käitumisega.
- openssl utiliiti on lisatud toetus lippudele «-new -force_pubkey», «-multivalue-rdn», «-set_issuer», «-set_subject» ja «-utf8».
- Ülemineku läbi OBJ_bsearch_() kutse kasutamiselt standardkutseni bsearch().
- Lihtsustatud by_file_ctrl(), EVP_Cipher{Init,Update,Final}() ja API OBJ_* teostust.
- Tehtud suur reorganiseerimine API EVP. Funktsioonid EVP_add_{cipher,digest}() on eemaldatud.
- Lihtsustatud X509_TRUST töötlemist.
- BIO_dump*() funktsioonid on ümber kirjutatud.
- Lõpetatud globaalsete tabelite toetus, mis ei ole kohandatud mitme lõime kasutamiseks. Seetõttu ei toetata enam algsete algoritmide ja hash'ide nimede määramist, isiklike stringide, ASN.1 meetodite, PKEY ja CRL lisamist.
- Eemaldatud funktsioonid BIO_set(), BIO_{sn,v,vsn}printf(), sk_find_ex() ja OBJ_bsearch_(), samuti palju aegunud CRYPTO API funktsioone.
- Lõpetatud juurdepääs API-le X509_CERT_AUX ja X509_TRUST.
- GOST ja STREEBOG algoritmide toetus lõpetatud.
- Tugevdatud CET (Control-flow Enforcement Technology) mehhanismi tuge, mis on rakendatud kaitseks ROP-põhiste haavatavuste täitmise vastu.
Allikas: opennet.ru
