Megjelent az OpenSSL 4.0.0 könyvtár, amely a TLS protokollok és különböző titkosítási algoritmusok megvalósítását kínálja. Az OpenSSL 4.0 normál támogatási időszakkal rendelkezik, amely alatt 13 hónapon keresztül frissítéseket kap. A korábbi OpenSSL ágazatok, mint a 3.6, 3.5 LTS, 3.4 és 3.0 LTS támogatása 2026 novemberéig, 2030 áprilisáig, 2026 októberéig és 2026 szeptemberéig tart.
Fő újdonságok:
- Támogatás került hozzáadásra az ECH (Encrypted ClientHello, RFC 9849) TLS-kiterjesztéshez, amely a TLS-ülések paramétereiről, például a kért domainnévről szóló információk titkosítására szolgál. Az ESNI (Encrypted Server Name Indication) kiterjesztéstől eltérően az ECH ahelyett, hogy az egyes mezők szintjén titkosítana, az egész TLS ClientHello üzenetet titkosítja, amely lehetővé teszi a PSK (Pre-Shared Key) mezőnél bekövetkező szivárgások blokkolását.
- Támogatás került hozzáadásra az RFC 8998-ban definiált algoritmusokhoz, amelyek a Kínában szabványosított SM2 kriptográfiai algoritmusokat használják: az sm2sig_sm3 digitális aláírás-generáló algoritmus, a curveSM2 kulcscsere csoport és a posztkvantum csoport, a curveSM2MLKEM768.
- Hozzáadva a cSHAKE kriptográfiai hash funkció, amely a SHA-3 algoritmusra alapozva lehetővé teszi különböző hash-ek generálását az azonos bemeneti adatokból, védelmet nyújtva az adatok újrahasználatával manipuláló támadások ellen.
- Hozzáadva a hibrid algoritmus, az «ML-DSA-MU», amely ötvözi a posztkvantum digitális aláírás-képző algoritmust, az ML-DSA-t (CRYSTALS-Dilithium) a klasszikus hash-funkciónak, a SHAKE256-nak.
- Hozzáadva az SNMP KDF kulcsgeneráló funkciók támogatása HMAC-SHA alapú és az AES-CM alapú SRTP KDF-hez, amelyeket az SNMPv3 és SRTP hálózati protokollokban használnak kriptográfiai kulcsok létrehozására.
- Az «openssl fipsinstall» parancsba hozzáadva a «-defer_tests» opció, amely lehetővé teszi a FIPS modulok telepítésekor a tesztek elhalasztását.
- Windows platformon megvalósítva a statikus vagy dinamikus összekapcsolás támogatása a Visual C++ Runtime-tal.
- A TLS 1.2-ben hozzáadva a kulcscsere egyeztetésének támogatása az FFDHE algoritmus alapján, amely megfelel az RFC 7919-nek.
- Megszüntették az SSLv3 és SSLv2 Client Hello támogatását.
- A dinamikusan betölthető motorok támogatását eltávolították, ehelyett az OpenSSL funkcionalitásának bővítéséhez a csatlakoztatható szolgáltatók koncepcióját kell használni.
- A TLS támogatása a régi elliptikus görbék megszüntetésével lett kikapcsolva a fordítási fázisban. A visszaállításához az „enable-tls-deprecated-ec” opciót lehet használni.
- A c_rehash segédeszköz eltávolításra került, helyette az „openssl rehash” parancsot kell használni.
- Az „openssl ca” parancsból eltávolításra került a régi „msie-hack” opció.
- Az EVP_CIPHER, EVP_MD, EVP_PKEY és EVP_PKEY_ASN1 saját módszereinek támogatása megszűnt.
- A protokollok fix verzióihoz kapcsolódó elavult SSL/TLS funkciók, például a „TLSv1_client_method()” eltávolításra kerültek.
- Az elavult ERR_get_state(), ERR_remove_state() és ERR_remove_thread_state() funkciók eltávolításra kerültek.
- A darwin-i386{,-cc} és darwin-ppc{,64}{,-cc} célplatformok támogatása megszűnt.
Forrás: opennet.ru
