De ISRG (Internet Security Research Group), die de oprichter is van het Letās Encrypt-project en de ontwikkeling van technologieĆ«n voor een veiligere internet bevordert, heeft de publicatie aangekondigd van de rustls-openssl-compat laag, die het mogelijk maakt om de Rustls-bibliotheek als een transparante vervanging van OpenSSL te gebruiken. Momenteel biedt het project de rustls-libssl implementatie die compatibiliteit met libssl waarborgt, en wordt er gewerkt aan de implementatie van libcrypto.
De functionaliteit die in de laag aanwezig is, is voldoende om nginx met Rustls te laten draaien. Voor de overstap naar Rustls hoeft men slechts de bibliotheken te vervangen, zonder dat het nodig is om nginx opnieuw te bouwen of te wijzigen. Onder de komende ontwikkelingsplannen voor Rustls wordt de optimalisatie van de prestaties genoemd in gebieden waar Rustls nog achterloopt op OpenSSL, evenals de ondersteuning van RFC 8879 voor certificaatcompressie. Daarnaast wordt in de aankondiging vermeld dat er plannen zijn om de infrastructuurelementen van het Letās Encrypt-certificeringscentrum van OpenSSL naar Rustls over te zetten.
Het Rustls-project ontwikkelt de client- en serverimplementatie van de TLS 1.2 en TLS 1.3 protocollen voor gebruik in applicaties geschreven in Rust. Rustls biedt geen eigen implementatie van cryptografische primitieven, maar maakt gebruik van plug-in cryptografische functieproviders (de algoritmes ECDSA, Ed25519, RSA, ChaCha20-Poly1305, AES128-GCM en AES256-GCM worden ondersteund). Standaard gebruikt Rustls een cryptofunction provider op basis van de aws-lc-rs bibliotheek, die ontwikkeld wordt door Amazon en gebaseerd is op de C++ code van BoringSSL, die wordt onderhouden door de Google fork van OpenSSL. De ring bibliotheek kan ook als cryptofunction provider worden gebruikt, gedeeltelijk gebaseerd op BoringSSL en een combinatie van assembler-, C++- en Rust-code.
Het is opvallend dat nginx ingebouwde ondersteuning heeft voor compilatie met BoringSSL, wat het mogelijk maakt om deze bibliotheek direct te gebruiken zonder extra lagen. Naast de in Rustls ingebouwde ondersteuning voor de aws-lc-rs en ring bibliotheken, die op BoringSSL-code zijn gebaseerd, worden er voor Rustls ook verschillende externe cryptofunction providers ontwikkeld, die gebruik maken van de mbedtls (C-code), BoringSSL (C++) en RustCrypto (Rust) bibliotheken.
Bron: opennet.ru
