Nyolc hónapos fejlesztés után megjelent az OpenSSL 3.2.0 könyvtár, amely megvalósítja az SSL/TLS protokollokat és különböző titkosítási algoritmusokat. Az OpenSSL 3.2 támogatását 2025. november 23-ig biztosítják. A korábbi OpenSSL 3.1 és 3.0 LTS ágakat 2025 márciusáig, ill. 2026 szeptemberéig támogatják. Az 1.1.1 ág támogatása idén szeptemberben megszűnt. A projekt kódját Apache 2.0 licenc alatt terjesztik.
Az OpenSSL 3.2.0 legfontosabb újdonságai:
- Hozzáadva a QUIC protokoll kliensoldali támogatása (RFC 9000), amelyet az HTTP/3 protokoll szállítójaként használnak. A megvalósítás többek között lehetővé teszi több szál egy kapcsolaton keresztüli továbbítását. A QUIC használatához szükséges komponensek szervereken belekerülnek az OpenSSL 3.3 megjelenésébe, amelynek kiadását legkésőbb 2024. április 30-ig tervezik.
A QUIC egy az UDP protokollon alapuló kiegészítés, amely támogatja a több kapcsolat multiplexálását és biztosít a TLS/SSL-nek megfelelő titkosítási módszereket. A protokollt a Google hozta létre 2013-ban, mint alternatívát a TCP+TLS kombinációval szemben a Web számára, amely megoldja a TCP kapcsolatépítésének és egyeztetésének hosszú idejével kapcsolatos problémákat, valamint megszünteti a csomagvesztés miatti késleltetéseket az adatátvitel során.
- A TLS támogatja a tanúsítványok tömörítésére szolgáló kiterjesztésben (RFC 8879) a kapcsolat egyeztetési szakasza alatt, amely felgyorsítja a kapcsolat létrehozását, mivel a tanúsítvány adatátvitelének jelentős része a kapcsolat egyeztetése során fellépő forgalomnak. Támogatott a tömörítés zlib, zstd és Brotli könyvtárakkal.
- Hozzáadva a meghatározott ECDSA digitális aláírás változat támogatása (Deterministic ECDSA, RFC 6979), amelynél a véletlenszerű sorozat helyett aláírás létrehozásakor a privát kulcs és az aláírandó üzenet szövegének HMAC-SHA256 hash-ét használják, ami lehetővé teszi ugyanannak az aláírásnak a megkapását különböző aláírási műveletek során, de nem engedi meg adatszivárgást, ami használható lenne a privát kulcs feltörésére (a privát kulcs megtalálható, ha legalább két aláírás készült különböző adatokra a megismétlődő véletlenszerű sorozat használatával).
- Hozzáadva az Ed25519 és Ed448 nyilvános kulcsú digitális aláírások kiterjesztett változatai: Ed25519ctx, Ed25519ph és Ed448ph (RFC 8032) támogatása.
- Hozzáadva az AES-GCM-SIV titkosítási mód támogatása (RFC 8452), amely a GCM (Galois / Counter Mode) magas teljesítményét ötvözi a nonce véletlenszerű kódjának újrafelhasználása ellenálló stabilitásával.
- Implmentálva az Argon2 kulcsgeneráló funkció (RFC 9106), amely 2015-ben megnyerte a jelszóhash-elési algoritmusok versenyét. Hozzáadva a szálak pooljának használatának lehetősége.
- Hozzáadva a hibrid titkosítás támogatása az HPKE (Hybrid Public Key Encryption, RFC 9180) mechanizmus alapján, amely ötvözi a nyilvános kulccsal való titkosítás kulcsának egyszerű átadását a szimmetrikus titkosítás magas teljesítményével (az adatok gyors szimmetrikus kulccsal titkosítva, míg maga a kulcs lassú aszimmetrikus titkosítással van titkosítva).
- A TLS-ben megvalósították a "nyers" (raw) nyilvános kulcsok használatát (RFC 7250).
- Hozzáadva a TCP-kapcsolatok gyors megnyitásának mechanizmusának támogatása (TFO — TCP Fast Open, RFC 7413), amely lehetővé teszi a kapcsolat beállításához szükséges lépések csökkentését az első és második lépés egy kérésbe való egyesítésével a klasszikus 3-lépcsős csatlakozási folyamatban, és lehetővé teszi adatok küldését a kapcsolat kezdeti szakaszában.
- A TLS-ben megvalósították a csatlakoztatható digitális aláírási séma támogatását, lehetővé téve külső algoritmusok használatát, például kvantumszámítógépekkel szemben ellenálló algoritmusok alkalmazásához a TLS-ben.
- A TLS 1.3-ban hozzáadva a Brainpool védett elliptikus görbék támogatása.
- Hozzáadva az SM4-XTS processzor utasításainak támogatása.
- Windows platformon lehetőség van a rendszerszintű gyökér tanúsítványtár használatára (alapértelmezés szerint letiltva). A Windows-beli tanúsítványok eléréséhez a következő URI javasolt: "org.openssl.winstore://".
Forrás: opennet.ru
