Nakon osam mjeseci razvoja, objavljen je OpenSSL 3.2.0 sa realizacijom SSL/TLS protokola i različitih kriptografskih algoritama. Podrška za OpenSSL 3.2 bit će dostupna do 23. studenog 2025. godine. Podrška za prethodne verzije OpenSSL 3.1 i 3.0 LTS trajat će do ožujka 2025. i rujna 2026. godine, redom. Podrška za verziju 1.1.1 prestala je u rujnu ove godine. Izvorni kod projekta distribuirat će se pod Apache 2.0 licencom.
Glavne novosti OpenSSL 3.2.0:
- Dodana je klijentska podrška za QUIC protokol (RFC 9000), koji se koristi kao transport u HTTP/3 protokolu. Implementacija uključuje, među ostalim, mogućnost prijenosa više tokova kroz jedan komunikacijski kanal. Komponente za korištenje QUIC-a na poslužiteljima bit će uključene u OpenSSL 3.3 koji planiraju objaviti najkasnije do 30. travnja 2024. godine.
QUIC predstavlja nadogradnju na UDP protokol, koja podržava multiplexiranje više veza i osigurava metode kriptiranja, ekvivalentne TLS/SSL-u. Protokol je razvijen 2013. godine od strane Googlea kao alternativa TCP+TLS kombinaciji za web, rješavajući probleme s velikim vremenom postavljanja i pregovaranja veza u TCP-u te uklanjanjem kašnjenja prilikom gubitka paketa tijekom prijenosa podataka.
- U TLS-u je implementirana podrška za proširenje za kompresiju certifikata tijekom pregovaranja veza (RFC 8879), što omogućuje brže postavljanje veze jer prijenos certifikata čini značajan dio prometa tijekom faze pregovaranja. Podržava se kompresija koristeći zlib, zstd i Brotli biblioteke.
- Dodana je podrška za determinističku varijantu digitalnih potpisa ECDSA (Deterministic ECDSA, RFC 6979) u kojoj se umjesto nasumične sekvence pri generiranju potpisa koristi HMAC-SHA256 hash od privatnog ključa i teksta poruke koja se potpisuje, što omogućava da se uvijek dobije isti potpis u različitim operacijama potpisivanja, ali ne dopušta curenje podataka koji se mogu koristiti za otkrivanje privatnog ključa (privatni ključ može biti otkriven ako su barem dva potpisa za različite podatke generirana korištenjem ponovljene nasumične sekvence).
- Dodana je podrška za proširene varijante digitalnih potpisa s javnim ključem Ed25519 i Ed448: Ed25519ctx, Ed25519ph i Ed448ph (RFC 8032).
- Dodana je podrška za AES-GCM-SIV način šifriranja (RFC 8452), koji kombinira visoke performanse GCM (Galois/Counter Mode) s otpornošću na curenje kod ponovne upotrebe slučajnog broja nonce.
- Implementirana je funkcija generiranja ključa Argon2 (RFC 9106), koja je 2015. godine pobijedila na natječaju za algoritme za hashiranje lozinki. Dodana je mogućnost korištenja pool-a niti.
- Dodana je podrška za hibridno šifriranje temeljenog na HPKE mehanizmu (Hybrid Public Key Encryption, RFC 9180), koji kombinira jednostavnost prijenosa ključa u šifriranju s javnim ključem s visokom učinkovitošću simetričnog šifriranja (podatci se šifriraju brzim simetričnim ključem, dok se sam ključ šifrira sporijim asimetričnim).
- U TLS-u je omogućena upotreba 'sirovih' (raw) javnih ključeva (RFC 7250).
- Dodana je podrška za mehanizam brzog otvaranja TCP veza (TFO – TCP Fast Open, RFC 7413), koji omogućava smanjenje broja koraka za uspostavu veze kombiniranjem prvog i drugog koraka klasičnog 3-koraknog procesa usklađivanja u jedan zahtjev, te omogućava slanje podataka u početnoj fazi uspostave veze.
- U TLS-u je implementirana podrška za priključive sheme digitalnog potpisivanja, što omogućava korištenje vanjskih implementacija algoritama, na primjer, za korištenje algorima otpornima na napade kvantnih računala u TLS-u.
- U TLS 1.3 dodana je podrška za zaštićene eliptične krivulje Brainpool.
- Dodana je podrška za procesorske instrukcije SM4-XTS.
- Na Windows platformi omogućena je upotreba sistemske pohrane korijenskih certifikata (zadano isključeno). Za pristup certifikatima u Windows pohrani predložen je URI 'org.openssl.winstore://'.
Izvor: opennet.ru
