Dopo un anno e mezzo di sviluppo, è stata rilasciata la libreria OpenSSL 3.1.0 con l'implementazione dei protocolli SSL/TLS e vari algoritmi di crittografia. Il supporto per OpenSSL 3.1 continuerà fino a marzo 2025. Il supporto per i rami legacy OpenSSL 3.0 e 1.1.1 continuerà rispettivamente fino a settembre 2026 e settembre 2023. Il codice del progetto è distribuito con licenza Apache 2.0.
Principali innovazioni di OpenSSL 3.1.0:
- Il modulo FIPS implementa il supporto per algoritmi crittografici conformi allo standard di sicurezza FIPS 140-3. È iniziato il processo di certificazione dei moduli per ottenere la certificazione di conformità FIPS 140-3. Fino al completamento della certificazione dopo l'aggiornamento di OpenSSL al ramo 3.1, gli utenti possono continuare a utilizzare un modulo FIPS certificato per FIPS 140-2. Tra le modifiche nella nuova versione del modulo, si segnala l'inclusione degli algoritmi Triple DES ECB, Triple DES CBC ed EdDSA, che non sono ancora stati testati per la conformità ai requisiti FIPS. Anche nella nuova versione sono state apportate ottimizzazioni per migliorare le prestazioni ed è stato effettuato il passaggio all'esecuzione di test interni ad ogni caricamento del modulo, e non solo dopo l'installazione.
- Codice OSSL_LIB_CTX rielaborato. La nuova opzione è priva di inutili blocchi e consente di ottenere prestazioni più elevate.
- Prestazioni migliorate dei framework codificatore e decodificatore.
- Eseguita ottimizzazione delle prestazioni relative all'utilizzo di strutture interne (tabelle hash) e caching.
- Migliorata la velocità di generazione delle chiavi RSA in modalità FIPS.
- Gli algoritmi AES-GCM, ChaCha20, SM3, SM4 e SM4-GCM hanno ottimizzazioni assembler specifiche per diverse architetture di processori. Ad esempio, il codice AES-GCM viene accelerato utilizzando le istruzioni AVX512 vAES e vPCLMULQDQ.
- Il supporto per l'algoritmo KMAC (KECCAK Message Authentication Code) è stato aggiunto a KBKDF (Key Based Key Derivation Function).
- Varie funzioni "OBJ_*" sono state adattate per l'uso in codice multi-thread.
- Aggiunta la possibilità di utilizzare l'istruzione RNDR e i registri RNDRRS disponibili nei processori basati sull'architettura AArch64 per generare numeri pseudo-casuali.
- Le funzioni OPENSSL_LH_stats, OPENSSL_LH_node_stats, OPENSSL_LH_node_usage_stats, OPENSSL_LH_stats_bio, OPENSSL_LH_node_stats_bio e OPENSSL_LH_node_usage_stats_bio sono state deprecate. Macro DEFINE_LHASH_OF obsoleta.
Fonte: opennet.ru