Objavljen je OpenSSL 4.0.0, koji donosi implementaciju TLS protokola i različitih kriptografskih algoritama. OpenSSL 4.0 pripada verzijama s redovitom podrškom, čija su ažuriranja dostupna tokom 13 mjeseci. Podrška za ranije verzije OpenSSL 3.6, 3.5 LTS, 3.4 i 3.0 LTS trajat će do novembra 2026., aprila 2030., oktobra 2026. i septembra 2026. godine, redom. Izvorni kod projekta distribuira se pod Apache 2.0 licencom.
Glavne novine:
- Dodana je podrška za TLS proširenje ECH (Encrypted ClientHello, RFC 9849), koje je namijenjeno šifriranju informacija o parametrima TLS sesija, poput traženog imena domene. Za razliku od ESNI (Encrypted Server Name Indication) proširenja, u ECH se čitava TLS poruka ClientHello šifrira, što omogućava blokiranje curenja informacija kroz polja koja ESNI ne pokriva, kao što je PSK (Pre-Shared Key).
- Dodana je podrška za određene algoritme definirane u RFC 8998, koji koriste standardizirani skup kriptografske algoritme SM2 iz Kine: algoritam generisanja digitalnog potpisa sm2sig_sm3, grupu za razmjenu ključeva curveSM2 i postkvantnu grupu curveSM2MLKEM768.
- Dodana je kriptografska funkcija hashiranja cSHAKE, koja se temelji na SHA-3 algoritmu i omogućava kreiranje različitih hashova na osnovu istih ulaznih podataka kako bi se zaštitila od napada koji manipulišu ponovnim korištenjem podataka.
- Dodan je hibridni algoritam 'ML-DSA-MU', koji kombinira postkvantni algoritam generisanja digitalnog potpisa ML-DSA (CRYSTALS-Dilithium) s klasičnom hash funkcijom SHAKE256.
- Dodana je podrška za SNMP KDF funkcije ključnog generiranja na temelju HMAC-SHA i SRTP KDF funkcije na temelju AES-CM, korištene u mrežnim protokolima SNMPv3 i SRTP za generiranje kriptografskih ključeva.
- U komandni alat 'openssl fipsinstall' dodana je opcija '-defer_tests', koja omogućava odgađanje pokretanja testova prilikom instalacije FIPS modula.
- Za Windows platformu implementirana je podrška za korištenje statičkog ili dinamičkog povezivanja s Visual C++ Runtime.
- U TLS 1.2 dodana je podrška za pregovaranje razmjene ključeva na temelju FFDHE algoritma, u skladu s RFC 7919.
- Obustavljena je podrška za SSLv3 i SSLv2 Client Hello.
- Uklonjena je podrška za dinamički učitane engine, a umjesto toga za proširivanje funkcionalnosti OpenSSL treba koristiti koncept povezivih providera.
- U TLS-u je na fazi kompilacije onemogućena podrška za zastarjele eliptične krivulje. Za vraćanje možete koristiti opciju «enable-tls-deprecated-ec».
- Uklonjena je alatka c_rehash, umjesto koje treba koristiti naredbu «openssl rehash».
- Iz naredbe «openssl ca» uklonjena je zastarjela opcija «msie-hack».
- Uklonjena je podrška za vlastite metode EVP_CIPHER, EVP_MD, EVP_PKEY i EVP_PKEY_ASN1.
- Uklonjene su zastarjele funkcije SSL/TLS vezane za fiksne verzije protokola, na primjer, «TLSv1_client_method()».
- Uklonjene su zastarjele funkcije ERR_get_state(), ERR_remove_state() i ERR_remove_thread_state().
- Prekinuta je podrška za ciljne platforme darwin-i386{,-cc} i darwin-ppc{,64}{,-cc}.
Izvor: opennet.ru
