LibreSSL 3.9.0 კრიპტოგრაფიული ბიბლიოთეკის გამოშვება

OpenBSD პროექტის დეველოპერებმა გამოუშვეს პორტატული LibreSSL 3.9.0 პაკეტი, რომელიც წარმოადგენს OpenSSL-ის ფორკს და შექმნილია უსაფრთხოების უფრო მაღალი დონის უზრუნველსაყოფად. LibreSSL პროექტი ორიენტირებულია SSL/TLS პროტოკოლების მაღალი ხარისხის მხარდაჭერის უზრუნველყოფაზე არასაჭირო ფუნქციონალურობის მოხსნით, დამატებითი უსაფრთხოების ფუნქციების დამატებით და კოდის ბაზის მნიშვნელოვნად გაწმენდითა და გადამუშავებით. LibreSSL 3.9.0 ითვლება ექსპერიმენტულ ვერსიად, რომელიც ავითარებს ფუნქციებს, რომლებიც შევა OpenBSD 7.5-ში. ამავდროულად, გამოვიდა სტაბილური LibreSSL 3.8.3 ვერსია, რომელიც ასწორებს რამდენიმე სპეციფიკურ პრობლემას. Windows შეცდომები და გაძლიერებული მხარდაჭერა CET (Control-flow Enforcement Technology) დაცვის მექანიზმისთვის.

LibreSSL 3.9.0-ის მახასიათებლები:

• დაემატა მხარდაჭერა ECDSA-ზე დაფუძნებული ციფრული ხელმოწერის ალგორითმებისთვის SHA-3 ჰეშებით.
• დაემატა HMAC-ის მხარდაჭერა შემოკლებული SHA-2 და SHA-3 ჰეშებით, როგორც PBE PRF.
• პლატფორმებს შორის პორტაბელურობის გასაუმჯობესებლად ცვლილებები განხორციელდა. სტატიკური ბმულების პრობლემების თავიდან ასაცილებლად, თავსებადობისთვის გამოყენებული LibreSSL ექსპორტირებული სიმბოლოების უმეტესობას ახლა „libressl_“-ის პრეფიქსი აქვს. CMake-ზე დაფუძნებული ბილდები აღარ ახორციელებენ libcrypto compat სიმბოლოების ექსპორტს.
• OpenSSL-თან თავსებადობის გასაუმჯობესებლად ცვლილებები განხორციელდა. მაგალითად, ChaCha ალგორითმისთვის დაემატა ფსევდონიმები ChaCha20 და chacha20, SSL_library_init() და OPENSSL_init_ssl() ფუნქციების მოქმედება გაერთიანდა და EVP_{CIPHER,MD}_CTX_init() გამოძახებები OpenSSL-ის ქცევასთან შესაბამისობაში მოვიდა.
• openssl პროგრამას დაემატა „-new -force_pubkey“, „-multivalue-rdn“, „-set_issuer“, „-set_subject“ და „-utf8“ დროშების მხარდაჭერა.
• OBJ_bsearch_() გამოძახებიდან სტანდარტულ bsearch() ფუნქციაზე გადასვლა განხორციელდა.
• by_file_ctrl() ფუნქციის, EVP_Cipher{Init,Update,Final}() და OBJ_* API-ის გამარტივებული იმპლემენტაცია.
• EVP API-ის ძირითადი რეორგანიზაცია. EVP_add_{cipher,digest}() ფუნქციები ამოღებულია.
• X509_TRUST-ის გამარტივებული დამუშავება.
• გადაწერილი BIO_dump*() ფუნქციები.
• მრავალძაფიანი გამოყენებისთვის არ არის ადაპტირებული გლობალური ცხრილების მხარდაჭერა. შედეგად, შიფრებისა და ჰეშებისთვის ფსევდონიმების მინიჭება, მორგებული სტრიქონების დამატება, ASN.1 მეთოდები, PKEY და CRL აღარ არის მხარდაჭერილი.
• წაიშალა BIO_set(), BIO_{sn,v,vsn}printf(), sk_find_ex() და OBJ_bsearch_() ფუნქციები, ასევე მრავალი მოძველებული CRYPTO API ფუნქცია.
• X509_CERT_AUX და X509_TRUST API-ებზე საჯარო წვდომა შეწყვეტილია.
• GOST-ისა და STREEBOG-ის ალგორითმების მხარდაჭერა შეწყდა.
• გაფართოებული მხარდაჭერა CET (Control-flow Enforcement Technology) მექანიზმისთვის, რომელიც გამოიყენება დაბრუნებაზე ორიენტირებული პროგრამირების (ROP) ტექნიკის გამოყენებით შექმნილი ექსპლოიტების შესრულებისგან დასაცავად.

წყარო: opennet.ru