SSL/TLS ಪ್ರೋಟೋಕಾಲ್ಗಳು ಮತ್ತು ವಿವಿಧ ಎನ್ಕ್ರಿಪ್ಶನ್ ಅಲ್ಗಾರಿದಮ್ಗಳ ಅನುಷ್ಠಾನವಾದ OpenSSL 3.6.0 ಅನ್ನು ಬಿಡುಗಡೆ ಮಾಡಲಾಗಿದೆ. OpenSSL 3.6 ನಿಯಮಿತ ಬೆಂಬಲ ಬಿಡುಗಡೆಯಾಗಿದ್ದು, 13 ತಿಂಗಳವರೆಗೆ ನವೀಕರಣಗಳು ಲಭ್ಯವಿದೆ. ಹಿಂದಿನ OpenSSL ಬಿಡುಗಡೆಗಳಿಗೆ ಬೆಂಬಲ—3.5 LTS, 3.4, 3.3, 3.2, ಮತ್ತು 3.0 LTS—ಕ್ರಮವಾಗಿ ಏಪ್ರಿಲ್ 2030, ಅಕ್ಟೋಬರ್ 2026, ಏಪ್ರಿಲ್ 2026, ನವೆಂಬರ್ 2025 ಮತ್ತು ಸೆಪ್ಟೆಂಬರ್ 2026 ರವರೆಗೆ ಮುಂದುವರಿಯುತ್ತದೆ. ಯೋಜನೆಯ ಕೋಡ್ ಅಪಾಚೆ 2.0 ಪರವಾನಗಿ ಅಡಿಯಲ್ಲಿ ಪರವಾನಗಿ ಪಡೆದಿದೆ.
ಮುಖ್ಯ ಆವಿಷ್ಕಾರಗಳು:
- ಸಮ್ಮಿತೀಯ ಕೀಗಳನ್ನು ಅಪಾರದರ್ಶಕ ವಸ್ತುಗಳಾಗಿ ಪ್ರತಿನಿಧಿಸಲು EVP_SKEY (ಸಮ್ಮಿತೀಯ KEY) ರಚನೆಗೆ ಬೆಂಬಲವನ್ನು ಸೇರಿಸಲಾಗಿದೆ. ಬೈಟ್ ಶ್ರೇಣಿಯಾಗಿ ಪ್ರತಿನಿಧಿಸುವ ಕಚ್ಚಾ ಕೀಗಳಿಗಿಂತ ಭಿನ್ನವಾಗಿ, EVP_SKEY ಕೀ ರಚನೆಯನ್ನು ಅಮೂರ್ತಗೊಳಿಸುತ್ತದೆ ಮತ್ತು ಹೆಚ್ಚುವರಿ ಮೆಟಾಡೇಟಾವನ್ನು ಹೊಂದಿರುತ್ತದೆ. EVP_SKEY ಅನ್ನು ಎನ್ಕ್ರಿಪ್ಶನ್, ಕೀ ವಿನಿಮಯ ಮತ್ತು ಕೀ ವ್ಯುತ್ಪನ್ನ (KDF) ಕಾರ್ಯಗಳಲ್ಲಿ ಬಳಸಬಹುದು. EVP_KDF_CTX_set_SKEY(), EVP_KDF_derive_SKEY(), ಮತ್ತು EVP_PKEY_derive_SKEY() ಕಾರ್ಯಗಳನ್ನು EVP_SKEY ಕೀಲಿಗಳೊಂದಿಗೆ ಕೆಲಸ ಮಾಡಲು ಸೇರಿಸಲಾಗಿದೆ.
- ಲೈಟನ್-ಮಿಕಾಲಿ ಸಿಗ್ನೇಚರ್ಸ್ (LMS) ಸ್ಕೀಮ್ ಅನ್ನು ಆಧರಿಸಿದ ಡಿಜಿಟಲ್ ಸಿಗ್ನೇಚರ್ ಪರಿಶೀಲನೆಗೆ ಬೆಂಬಲವನ್ನು ಸೇರಿಸಲಾಗಿದೆ, ಇದು ಮರ್ಕಲ್ ಟ್ರೀ ರೂಪದಲ್ಲಿ ಹ್ಯಾಶ್ ಕಾರ್ಯಗಳು ಮತ್ತು ಟ್ರೀ-ಆಧಾರಿತ ಹ್ಯಾಶಿಂಗ್ ಅನ್ನು ಬಳಸುತ್ತದೆ (ಪ್ರತಿಯೊಂದು ಶಾಖೆಯು ಎಲ್ಲಾ ಆಧಾರವಾಗಿರುವ ಶಾಖೆಗಳು ಮತ್ತು ನೋಡ್ಗಳನ್ನು ಪರಿಶೀಲಿಸುತ್ತದೆ). LMS ಡಿಜಿಟಲ್ ಸಿಗ್ನೇಚರ್ಗಳು ಕ್ವಾಂಟಮ್ ಕಂಪ್ಯೂಟರ್ನಲ್ಲಿ ಬ್ರೂಟ್-ಫೋರ್ಸ್ ಪರೀಕ್ಷೆಗೆ ನಿರೋಧಕವಾಗಿರುತ್ತವೆ ಮತ್ತು ಫರ್ಮ್ವೇರ್ ಮತ್ತು ಅಪ್ಲಿಕೇಶನ್ಗಳ ಸಮಗ್ರತೆಯನ್ನು ಪರಿಶೀಲಿಸಲು ವಿನ್ಯಾಸಗೊಳಿಸಲಾಗಿದೆ.
- PKEY ಆಬ್ಜೆಕ್ಟ್ ಪ್ಯಾರಾಮೀಟರ್ಗಳಿಗೆ (ಸಾರ್ವಜನಿಕ ಮತ್ತು ಖಾಸಗಿ ಕೀಗಳು) NIST ಭದ್ರತಾ ವರ್ಗಗಳಿಗೆ ಬೆಂಬಲವನ್ನು ಸೇರಿಸಲಾಗಿದೆ. ಭದ್ರತಾ ವರ್ಗವನ್ನು "ಭದ್ರತಾ-ವರ್ಗ" ಸೆಟ್ಟಿಂಗ್ ಮೂಲಕ ಹೊಂದಿಸಲಾಗಿದೆ. ಭದ್ರತಾ ಮಟ್ಟವನ್ನು ಪರಿಶೀಲಿಸಲು EVP_PKEY_get_security_category() ಕಾರ್ಯವನ್ನು ಸೇರಿಸಲಾಗಿದೆ. ಭದ್ರತಾ ಮಟ್ಟವು ಕ್ವಾಂಟಮ್ ಕಂಪ್ಯೂಟರ್ಗಳ ಮೇಲಿನ ಬ್ರೂಟ್-ಫೋರ್ಸ್ ದಾಳಿಗಳಿಗೆ ಪ್ರತಿರೋಧವನ್ನು ಪ್ರತಿಬಿಂಬಿಸುತ್ತದೆ ಮತ್ತು 0 ರಿಂದ 5 ರವರೆಗೆ ಪೂರ್ಣಾಂಕ ಮೌಲ್ಯಗಳನ್ನು ತೆಗೆದುಕೊಳ್ಳಬಹುದು:
- 0 - ಕ್ವಾಂಟಮ್ ಕಂಪ್ಯೂಟರ್ಗಳಲ್ಲಿ ಹ್ಯಾಕಿಂಗ್ಗೆ ನಿರೋಧಕವಲ್ಲದ ಅನುಷ್ಠಾನ;
- 1/3/5 — ಕ್ವಾಂಟಮ್ ಕಂಪ್ಯೂಟರ್ನಲ್ಲಿ 128/192/256-ಬಿಟ್ ಕೀಲಿಯೊಂದಿಗೆ ಬ್ಲಾಕ್ ಸೈಫರ್ನಲ್ಲಿ ಕೀಲಿಯನ್ನು ಹುಡುಕುವ ಸಾಧ್ಯತೆಯನ್ನು ಅನುಷ್ಠಾನವು ಹೊರತುಪಡಿಸುವುದಿಲ್ಲ;
- 2/4 - ಅನುಷ್ಠಾನವು ಕ್ವಾಂಟಮ್ ಕಂಪ್ಯೂಟರ್ನಲ್ಲಿ 256/384-ಬಿಟ್ ಹ್ಯಾಶ್ನಲ್ಲಿ ಘರ್ಷಣೆಯನ್ನು ಹುಡುಕುವ ಸಾಧ್ಯತೆಯನ್ನು ಹೊರತುಪಡಿಸುವುದಿಲ್ಲ).
- "openssl configutl" ಆಜ್ಞೆಯನ್ನು ಸಂರಚನಾ ಕಡತಗಳನ್ನು ಪ್ರಕ್ರಿಯೆಗೊಳಿಸಲು ಸೇರಿಸಲಾಗಿದೆ. ಈ ಉಪಯುಕ್ತತೆಯು ಬಹು-ಫೈಲ್ ಸಂರಚನೆಯಿಂದ ಎಲ್ಲಾ ಸೆಟ್ಟಿಂಗ್ಗಳೊಂದಿಗೆ ಏಕೀಕೃತ ಫೈಲ್ ಅನ್ನು ರಚಿಸಲು ನಿಮಗೆ ಅನುಮತಿಸುತ್ತದೆ.
- FIPS 186-5 ಮಾನದಂಡದ ಅವಶ್ಯಕತೆಗಳಿಗೆ ಅನುಗುಣವಾಗಿ, FIPS ಕ್ರಿಪ್ಟೋಗ್ರಾಫಿಕ್ ಪೂರೈಕೆದಾರರನ್ನು ECDSA ಡಿಜಿಟಲ್ ಸಹಿಗಳ ನಿರ್ಣಾಯಕ ಉತ್ಪಾದನೆಯನ್ನು ಬೆಂಬಲಿಸಲು ನವೀಕರಿಸಲಾಗಿದೆ (ಅದೇ ಸಹಿಯನ್ನು ಅದೇ ಇನ್ಪುಟ್ ಡೇಟಾದೊಂದಿಗೆ ರಚಿಸಲಾಗುತ್ತದೆ).
- ನಿರ್ಮಾಣ ಪರಿಸರದ ಅವಶ್ಯಕತೆಗಳನ್ನು ಹೆಚ್ಚಿಸಲಾಗಿದೆ. OpenSSL ಅನ್ನು ನಿರ್ಮಿಸಲು ಇನ್ನು ಮುಂದೆ ANSI-C ಬೆಂಬಲದೊಂದಿಗೆ ಪರಿಕರಗಳ ಅಗತ್ಯವಿಲ್ಲ; C-99-ಕಾಂಪ್ಲೈಂಟ್ ಕಂಪೈಲರ್ ಈಗ ಅಗತ್ಯವಿದೆ.
- EVP_PKEY_ASN1_METHOD ರಚನೆಗೆ ಸಂಬಂಧಿಸಿದ ಕಾರ್ಯಗಳನ್ನು ರದ್ದುಗೊಳಿಸಲಾಗಿದೆ.
- VxWorks ಪ್ಲಾಟ್ಫಾರ್ಮ್ಗೆ ಬೆಂಬಲವನ್ನು ನಿಲ್ಲಿಸಲಾಗಿದೆ.
ಸ್ಥಿರ ದೋಷಗಳು:
- CVE-2025-9230 ಎಂಬುದು ಪಾಸ್ವರ್ಡ್-ಎನ್ಕ್ರಿಪ್ಟ್ ಮಾಡಿದ CMS ಸಂದೇಶಗಳ (PWRI) ಡೀಕ್ರಿಪ್ಶನ್ ಕೋಡ್ನಲ್ಲಿರುವ ಒಂದು ದುರ್ಬಲತೆಯಾಗಿದೆ. ಈ ದುರ್ಬಲತೆಯು ಮಿತಿ ಮೀರಿದ ಡೇಟಾವನ್ನು ಬರೆಯಲು ಅಥವಾ ಓದಲು ಕಾರಣವಾಗಬಹುದು, ಇದು CMS ಸಂದೇಶಗಳನ್ನು ಪ್ರಕ್ರಿಯೆಗೊಳಿಸಲು OpenSSL ಅನ್ನು ಬಳಸುವ ಅಪ್ಲಿಕೇಶನ್ನಲ್ಲಿ ಕ್ರ್ಯಾಶ್ ಅಥವಾ ಮೆಮೊರಿ ಭ್ರಷ್ಟಾಚಾರಕ್ಕೆ ಕಾರಣವಾಗಬಹುದು. ಕೋಡ್ ಎಕ್ಸಿಕ್ಯೂಶನ್ಗಾಗಿ ಈ ದುರ್ಬಲತೆಯ ಶೋಷಣೆ ಸಾಧ್ಯವಾದರೂ, ಪಾಸ್ವರ್ಡ್-ಎನ್ಕ್ರಿಪ್ಟ್ ಮಾಡಿದ CMS ಸಂದೇಶಗಳನ್ನು ಆಚರಣೆಯಲ್ಲಿ ವಿರಳವಾಗಿ ಬಳಸಲಾಗುತ್ತದೆ ಎಂಬ ಅಂಶದಿಂದ ಸಮಸ್ಯೆಯ ತೀವ್ರತೆಯನ್ನು ತಗ್ಗಿಸಲಾಗುತ್ತದೆ. OpenSSL 3.6.0 ಜೊತೆಗೆ, OpenSSL 3.5.4, 3.4.3, 3.3.5, 3.2.6, ಮತ್ತು 3.0.18 ರಲ್ಲಿ ದುರ್ಬಲತೆಯನ್ನು ಸರಿಪಡಿಸಲಾಗಿದೆ. OpenBSD ಯೋಜನೆಯಿಂದ ಅಭಿವೃದ್ಧಿಪಡಿಸಲಾದ ಲೈಬ್ರರಿಯಾದ LibreSSL 4.0.1 ಮತ್ತು 4.1.1 ನಲ್ಲಿಯೂ ಸಹ ಸಮಸ್ಯೆಯನ್ನು ಸರಿಪಡಿಸಲಾಗಿದೆ.
- CVE-2025-9231 — SM2 ಅಲ್ಗಾರಿದಮ್ನ ಅನುಷ್ಠಾನವು ಸೈಡ್-ಚಾನೆಲ್ ದಾಳಿಗೆ ಗುರಿಯಾಗುತ್ತದೆ. 64-ಬಿಟ್ ARM CPU ಗಳನ್ನು ಹೊಂದಿರುವ ವ್ಯವಸ್ಥೆಗಳಲ್ಲಿ, ಇದು ವೈಯಕ್ತಿಕ ಲೆಕ್ಕಾಚಾರಗಳ ಸಮಯವನ್ನು ವಿಶ್ಲೇಷಿಸುವ ಮೂಲಕ ಖಾಸಗಿ ಕೀ ಮರುಪಡೆಯುವಿಕೆಗೆ ಅನುವು ಮಾಡಿಕೊಡುತ್ತದೆ. ದಾಳಿಯನ್ನು ಸಂಭಾವ್ಯವಾಗಿ ದೂರದಿಂದಲೇ ನಡೆಸಬಹುದು. TLS ನಲ್ಲಿ SM2 ಕೀಗಳೊಂದಿಗೆ ಪ್ರಮಾಣಪತ್ರಗಳ ಬಳಕೆಯನ್ನು OpenSSL ನೇರವಾಗಿ ಬೆಂಬಲಿಸುವುದಿಲ್ಲ ಎಂಬ ಅಂಶದಿಂದ ದಾಳಿಯ ಅಪಾಯವನ್ನು ಕಡಿಮೆ ಮಾಡಲಾಗಿದೆ.
- CVE-2025-9232 ಎಂಬುದು ಅಂತರ್ನಿರ್ಮಿತ HTTP ಕ್ಲೈಂಟ್ ಅನುಷ್ಠಾನದಲ್ಲಿನ ಒಂದು ದುರ್ಬಲತೆಯಾಗಿದ್ದು, ಇದು HTTP ಕ್ಲೈಂಟ್ ಕಾರ್ಯಗಳಲ್ಲಿ ವಿಶೇಷವಾಗಿ ರಚಿಸಲಾದ URL ಅನ್ನು ಪ್ರಕ್ರಿಯೆಗೊಳಿಸುವಾಗ ಮಿತಿ ಮೀರಿದ ಡೇಟಾ ಓದುವಿಕೆಯನ್ನು ಅನುಮತಿಸುತ್ತದೆ. "no_proxy" ಪರಿಸರ ವೇರಿಯೇಬಲ್ ಅನ್ನು ಹೊಂದಿಸಿದಾಗ ಮಾತ್ರ ಸಮಸ್ಯೆ ಸ್ವತಃ ಪ್ರಕಟವಾಗುತ್ತದೆ ಮತ್ತು ಅಪ್ಲಿಕೇಶನ್ ಕ್ರ್ಯಾಶ್ಗೆ ಕಾರಣವಾಗಬಹುದು.
ಮೂಲ: opennet.ru
