OpenSSL 3.0.0 ការចេញផ្សាយបណ្ណាល័យគ្រីបតូ

បន្ទាប់ពីបីឆ្នាំនៃការអភិវឌ្ឍន៍ និងការចេញផ្សាយការធ្វើតេស្តចំនួន 19 បណ្ណាល័យ OpenSSL 3.0.0 ត្រូវបានចេញផ្សាយជាមួយនឹងការអនុវត្តពិធីការ SSL/TLS និងក្បួនដោះស្រាយការអ៊ិនគ្រីបផ្សេងៗ។ សាខាថ្មីរួមមានការផ្លាស់ប្តូរដែលបំបែកភាពឆបគ្នាថយក្រោយនៅកម្រិត API និង ABI ប៉ុន្តែការផ្លាស់ប្តូរនឹងមិនប៉ះពាល់ដល់ប្រតិបត្តិការនៃកម្មវិធីភាគច្រើនដែលទាមទារការស្ថាបនាឡើងវិញដើម្បីផ្លាស់ប្តូរពី OpenSSL 1.1.1 នោះទេ។ សាខាមុនរបស់ OpenSSL 1.1.1 នឹងត្រូវបានគាំទ្ររហូតដល់ខែកញ្ញា ឆ្នាំ 2023។

ការផ្លាស់ប្តូរគួរឱ្យកត់សម្គាល់នៅក្នុងលេខកំណែគឺដោយសារតែការផ្លាស់ប្តូរទៅលេខ "Major.Minor.Patch" ប្រពៃណី។ ចាប់ពីពេលនេះតទៅ ខ្ទង់ទីមួយ (មេ) នៅក្នុងលេខកំណែនឹងផ្លាស់ប្តូរលុះត្រាតែភាពឆបគ្នាត្រូវបានខូចនៅកម្រិត API/ABI ហើយលេខទីពីរ (តូច) នឹងផ្លាស់ប្តូរនៅពេលដែលមុខងារត្រូវបានបង្កើនដោយមិនផ្លាស់ប្តូរ API/ABI។ ការអាប់ដេតដែលកែតម្រូវនឹងត្រូវបានផ្តល់ជូនជាមួយនឹងការផ្លាស់ប្តូរទៅខ្ទង់ទីបី (បំណះ)។ លេខ 3.0.0 ភ្លាមៗបន្ទាប់ពី 1.1.1 ត្រូវបានជ្រើសរើស ដើម្បីជៀសវាងការត្រួតស៊ីគ្នាជាមួយម៉ូឌុល FIPS ដែលកំពុងតែអភិវឌ្ឍសម្រាប់ OpenSSL ដែលលេខ 2.x ត្រូវបានប្រើ។

ការផ្លាស់ប្តូរដ៏សំខាន់ទីពីរសម្រាប់គម្រោងគឺការផ្លាស់ប្តូរពីអាជ្ញាប័ណ្ណពីរ (OpenSSL និង SSLeay) ទៅអាជ្ញាប័ណ្ណ Apache 2.0 ។ អាជ្ញាប័ណ្ណ OpenSSL ដែលមានកម្មសិទ្ធិពីមុនគឺផ្អែកលើអត្ថបទនៃអាជ្ញាប័ណ្ណ Apache 1.0 កេរ្តិ៍ដំណែល ហើយតម្រូវឱ្យមានការលើកឡើងយ៉ាងច្បាស់អំពី OpenSSL នៅក្នុងសម្ភារៈទីផ្សារនៅពេលប្រើប្រាស់បណ្ណាល័យ OpenSSL ក៏ដូចជាការជូនដំណឹងពិសេសប្រសិនបើ OpenSSL ត្រូវបានផ្តល់ជូនជាផ្នែកនៃផលិតផល។ តម្រូវការទាំងនេះបានធ្វើឱ្យអាជ្ញាប័ណ្ណចាស់មិនត្រូវគ្នាជាមួយ GPL ដែលធ្វើឱ្យវាពិបាកក្នុងការប្រើ OpenSSL នៅក្នុងគម្រោងដែលមានអាជ្ញាប័ណ្ណ GPL ។ ដើម្បីទទួលបានភាពមិនឆបគ្នានេះ គម្រោង GPL ត្រូវបានបង្ខំឱ្យប្រើកិច្ចព្រមព្រៀងអាជ្ញាបណ្ណជាក់លាក់ ដែលអត្ថបទចម្បងនៃ GPL ត្រូវបានបន្ថែមដោយឃ្លាដែលអនុញ្ញាតឱ្យកម្មវិធីត្រូវបានភ្ជាប់យ៉ាងច្បាស់លាស់ជាមួយបណ្ណាល័យ OpenSSL ហើយបានលើកឡើងថាតម្រូវការរបស់ GPL មិនមាន អនុវត្តចំពោះការភ្ជាប់ជាមួយ OpenSSL ។

បើប្រៀបធៀបទៅនឹងសាខា OpenSSL 1.1.1 OpenSSL 3.0.0 បានបន្ថែមការផ្លាស់ប្តូរច្រើនជាង 7500 ដែលរួមចំណែកដោយអ្នកអភិវឌ្ឍន៍ 350។ ការច្នៃប្រឌិតសំខាន់ៗនៃ OpenSSL 3.0.0៖

• ម៉ូឌុល FIPS ថ្មីត្រូវបានស្នើឡើង រួមទាំងការអនុវត្តក្បួនដោះស្រាយការគ្រីបដែលអនុលោមតាមស្តង់ដារសុវត្ថិភាព FIPS 140-2 (ដំណើរការបញ្ជាក់សម្រាប់ម៉ូឌុលនេះគ្រោងនឹងចាប់ផ្តើមក្នុងខែនេះ ហើយការបញ្ជាក់ FIPS 140-2 ត្រូវបានរំពឹងទុកនៅឆ្នាំក្រោយ)។ ម៉ូឌុលថ្មីកាន់តែងាយស្រួលប្រើ ហើយការភ្ជាប់វាទៅកម្មវិធីជាច្រើននឹងមិនពិបាកជាងការផ្លាស់ប្តូរឯកសារកំណត់រចនាសម្ព័ន្ធនោះទេ។ តាមលំនាំដើម ម៉ូឌុល FIPS ត្រូវបានបិទ ហើយតម្រូវឱ្យបើកជម្រើស enable-fips ។
• libcrypto អនុវត្តគោលគំនិតនៃអ្នកផ្តល់សេវាដែលអាចដោតបាន ដែលជំនួសគំនិតនៃម៉ាស៊ីន (ENGINE API ត្រូវបានបដិសេធ)។ ដោយមានជំនួយពីអ្នកផ្តល់សេវា អ្នកអាចបន្ថែមការអនុវត្តផ្ទាល់របស់អ្នកនៃក្បួនដោះស្រាយសម្រាប់ប្រតិបត្តិការដូចជា ការអ៊ិនគ្រីប ការឌិគ្រីប ការបង្កើតកូនសោ ការគណនា MAC ការបង្កើត និងការផ្ទៀងផ្ទាត់ហត្ថលេខាឌីជីថល។ វាអាចធ្វើទៅបានដើម្បីភ្ជាប់ទាំងពីរថ្មី និងបង្កើតការអនុវត្តជំនួសនៃក្បួនដោះស្រាយដែលបានគាំទ្ររួចហើយ (តាមលំនាំដើម អ្នកផ្តល់សេវាដែលបានបង្កើតឡើងនៅក្នុង OpenSSL ឥឡូវនេះត្រូវបានប្រើសម្រាប់ក្បួនដោះស្រាយនីមួយៗ)។
• បានបន្ថែមការគាំទ្រសម្រាប់ពិធីសារគ្រប់គ្រងវិញ្ញាបនបត្រ (RFC 4210) ដែលអាចត្រូវបានប្រើដើម្បីស្នើសុំវិញ្ញាបនបត្រពីម៉ាស៊ីនមេ CA ធ្វើបច្ចុប្បន្នភាពវិញ្ញាបនបត្រ និងដកហូតវិញ្ញាបនបត្រ។ ការធ្វើការជាមួយ CMP ត្រូវបានអនុវត្តដោយប្រើឧបករណ៍ប្រើប្រាស់ openssl-cmp ថ្មីដែលគាំទ្រទម្រង់ CRMF (RFC 4211) និងការផ្ញើសំណើតាមរយៈ HTTP/HTTPS (RFC 6712) ។
• ម៉ាស៊ីនភ្ញៀវពេញលេញសម្រាប់ពិធីការ HTTP និង HTTPS ត្រូវបានអនុវត្ត គាំទ្រវិធីសាស្ត្រ GET និង POST ស្នើសុំការបញ្ជូនបន្ត ធ្វើការតាមរយៈប្រូកស៊ី ការអ៊ិនកូដ ASN.1 និងដំណើរការអស់ពេល។
• EVP_MAC ថ្មី (Message Authentication Code API) ត្រូវ​បាន​បន្ថែម​ដើម្បី​ធ្វើ​ឱ្យ​វា​កាន់​តែ​ងាយ​ស្រួល​ក្នុង​ការ​បន្ថែម​ការ​អនុវត្ត​ថ្មី​នៃ​ការ​បញ្ចូល​គំរូ។
• ចំណុចប្រទាក់កម្មវិធីថ្មីសម្រាប់បង្កើតកូនសោត្រូវបានស្នើឡើង - EVP_KDF (Key Derivation Function API) ដែលជួយសម្រួលដល់ការបន្ថែមការអនុវត្តថ្មីរបស់ KDF និង PRF ។ EVP_PKEY API ចាស់ ដែលតាមរយៈនោះការ scrypt, TLS1 PRF និង HKDF algorithms អាចប្រើបាន ត្រូវបានរៀបចំឡើងវិញក្នុងទម្រង់ជាស្រទាប់ដែលបានអនុវត្តនៅផ្នែកខាងលើនៃ EVP_KDF និង EVP_MAC APIs។
• ការអនុវត្តពិធីការ TLS ផ្តល់លទ្ធភាពប្រើប្រាស់ម៉ាស៊ីនភ្ញៀវ TLS និងម៉ាស៊ីនមេដែលបានបង្កើតឡើងនៅក្នុងខឺណែលលីនុច ដើម្បីបង្កើនល្បឿនប្រតិបត្តិការ។ ដើម្បីបើកការអនុវត្ត TLS ដែលផ្តល់ដោយខឺណែលលីនុច អ្នកត្រូវតែបើកជម្រើស "SSL_OP_ENABLE_KTLS" ឬការកំណត់ "enable-ktls" ។
• បានបន្ថែមការគាំទ្រសម្រាប់ក្បួនដោះស្រាយថ្មី៖
  • ក្បួនដោះស្រាយជំនាន់គន្លឹះ (KDF) គឺ "SINGLE STEP" និង "SSH" ។
  • ក្បួនដោះស្រាយការបញ្ចូលក្លែងធ្វើ (MAC) គឺ “GMAC” និង “KMAC” ។
  • RSA Key Encapsulation Algorithm (KEM) "RSASVE"។
  • ក្បួនដោះស្រាយការអ៊ិនគ្រីប "AES-SIV" (RFC-8452) ។
  • បានបន្ថែមការហៅទៅ EVP API ដែលគាំទ្រការសរសេរកូដបញ្ច្រាសដោយប្រើក្បួនដោះស្រាយ AES ដើម្បីអ៊ិនគ្រីបសោ (Key Wrap)៖ “AES-128-WRAP-INV”, “AES-192-WRAP-INV”, “AES-256-WRAP-INV ” , "AES-128-WRAP-PAD-INV", "AES-192-WRAP-PAD-INV" និង "AES-256-WRAP-PAD-INV" ។
  • បានបន្ថែមការគាំទ្រសម្រាប់ក្បួនដោះស្រាយការខ្ចីអក្សរសម្ងាត់ (CTS) ទៅ EVP API៖ “AES-128-CBC-CTS”, “AES-192-CBC-CTS”, “AES-256-CBC-CTS”, “CAMELLIA-128-CBC -CTS", "CAMELLIA-192-CBC-CTS" និង "CAMELLIA-256-CBC-CTS" ។
  • បានបន្ថែមការគាំទ្រសម្រាប់ហត្ថលេខាឌីជីថល CAdES-BES (RFC 5126) ។
  • AES_GCM អនុវត្តប៉ារ៉ាម៉ែត្រ AuthEnvelopedData (RFC 5083) ដើម្បីបើកការអ៊ិនគ្រីប និងការឌិគ្រីបសារដែលបានផ្ទៀងផ្ទាត់ និងអ៊ិនគ្រីបដោយប្រើរបៀប AES GCM ។
• PKCS7_get_octet_string និង PKCS7_type_is_មុខងារផ្សេងទៀតត្រូវបានបន្ថែមទៅ API សាធារណៈ។
• PKCS#12 API ជំនួសក្បួនដោះស្រាយលំនាំដើមដែលប្រើក្នុងមុខងារ PKCS12_create() ជាមួយ PBKDF2 និង AES ហើយប្រើក្បួនដោះស្រាយ SHA-256 ដើម្បីគណនា MAC ។ ដើម្បីស្តារឥរិយាបថពីមុន ជម្រើស "-legacy" ត្រូវបានផ្តល់ជូន។ បានបន្ថែមការហៅបន្ថែមថ្មីមួយចំនួនធំទៅ PKCS12_*_ex, PKCS5_*_ex និង PKCS8_*_ex ដូចជា PKCS12_add_key_ex().PKCS12_create_ex() និង PKCS12_decrypt_skey_ex()។
• សម្រាប់វេទិកាវីនដូ ការគាំទ្រសម្រាប់ការធ្វើសមកាលកម្មខ្សែស្រឡាយដោយប្រើយន្តការ SRWLock ត្រូវបានបន្ថែម។
• បានបន្ថែម API តាមដានថ្មី ដែលបើកតាមរយៈប៉ារ៉ាម៉ែត្របើកដំណើរការ។
• ជួរនៃសោដែលបានគាំទ្រនៅក្នុងមុខងារ EVP_PKEY_public_check() និង EVP_PKEY_param_check() ត្រូវបានពង្រីក៖ RSA, DSA, ED25519, X25519, ED448 និង X448។
• ប្រព័ន្ធរង RAND_DRBG ត្រូវបានដកចេញ ជំនួសដោយ EVP_RAND API ។ មុខងារ FIPS_mode() និង FIPS_mode_set() ត្រូវបានដកចេញ។
• ផ្នែកសំខាន់នៃ API ត្រូវបានបង្ហាញលែងប្រើ - ការប្រើការហៅទូរសព្ទដែលលែងប្រើក្នុងកូដគម្រោងនឹងនាំឱ្យមានការព្រមានកំឡុងពេលចងក្រង។ រួមទាំង APIs កម្រិតទាបដែលភ្ជាប់ទៅនឹងការអនុវត្តជាក់លាក់នៃក្បួនដោះស្រាយ (ឧទាហរណ៍ AES_set_encrypt_key និង AES_encrypt) ត្រូវបានប្រកាសជាផ្លូវការថាលែងប្រើហើយ។ ការគាំទ្រជាផ្លូវការនៅក្នុង OpenSSL 3.0.0 ឥឡូវនេះត្រូវបានផ្តល់ជូនសម្រាប់តែ EVP APIs កម្រិតខ្ពស់ដែលត្រូវបានអរូបីពីប្រភេទក្បួនដោះស្រាយនីមួយៗ (API នេះរួមបញ្ចូលឧទាហរណ៍ EVP_EncryptInit_ex, EVP_EncryptUpdate, និង EVP_EncryptFinal functions)។ APIs ដែលមិនគាំទ្រនឹងត្រូវបានយកចេញនៅក្នុងការចេញផ្សាយដ៏សំខាន់បន្ទាប់មួយ។ ការអនុវត្តក្បួនដោះស្រាយកេរ្តិ៍ដំណែលដូចជា MD2 និង DES ដែលមានតាមរយៈ EVP API ត្រូវបានផ្លាស់ទីទៅម៉ូឌុល "កេរ្តិ៍ដំណែល" ដាច់ដោយឡែក ដែលត្រូវបានបិទតាមលំនាំដើម។
• សំណុំឯកសារ និងការធ្វើតេស្តត្រូវបានពង្រីកយ៉ាងខ្លាំង។ បើប្រៀបធៀបទៅនឹងសាខា 1.1.1 បរិមាណនៃឯកសារបានកើនឡើង 94% ហើយទំហំនៃកូដឈុតសាកល្បងបានកើនឡើង 54% ។

ប្រភព: opennet.ru