De ontwikkelaars van het OpenBSD-project hebben een draagbare versie van het LibreSSL-pakket 3.9.0 uitgebracht, waarmee een fork van OpenSSL wordt ontwikkeld, gericht op het bieden van een hoger niveau van veiligheid. Het LibreSSL-project richt zich op hoogwaardige ondersteuning van SSL/TLS-protocollen door overtollige functionaliteit te verwijderen, extra beveiligingsmiddelen toe te voegen en een aanzienlijke opruiming en herstructurering van de codebasis uit te voeren. De release van LibreSSL 3.9.0 wordt beschouwd als experimenteel, waarin mogelijkheden worden ontwikkeld die deel zullen uitmaken van OpenBSD 7.5. Tegelijkertijd is er een stabiele uitgave van LibreSSL 3.8.3 gecreƫerd, waarin verschillende specifieke fouten voor Windows zijn verholpen en de ondersteuning voor de beschermingstechnologie CET (Control-flow Enforcement Technology) is verbeterd.
Kenmerken van LibreSSL 3.9.0:
- Ondersteuning voor digitale handtekeningalgoritmen op basis van ECDSA met SHA-3-hashes is toegevoegd.
- Ondersteuning voor HMAC met afgekorte SHA-2- en SHA-3-hashes als PBE PRF is toegevoegd.
- Wijzigingen zijn aangebracht om de draagbaarheid naar andere platforms te verbeteren. Om problemen bij statische linking te voorkomen, zijn de meeste geƫxporteerde symbolen van LibreSSL die voor compatibiliteit zorgen, voorzien van het voorvoegsel 'libressl_'. In CMake-bouwwerken is de export van compatibiliteitsymbolen van libcrypto stopgezet.
- Wijzigingen zijn aangebracht om de compatibiliteit met OpenSSL te verbeteren. Bijvoorbeeld, aliassen ChaCha20 en chacha20 zijn toegevoegd voor het ChaCha-algoritme, zijn de functies SSL_library_init() en OPENSSL_init_ssl() geĆ¼niformeerd, en de aanroepen van EVP_{CIPHER,MD}_CTX_init() zijn aangepast aan het gedrag van OpenSSL.
- In de openssl-tool is ondersteuning toegevoegd voor de vlaggen '-new -force_pubkey', '-multivalue-rdn', '-set_issuer', '-set_subject' en '-utf8'.
- Overstap gemaakt van het gebruik van de aanroep OBJ_bsearch_() naar de standaardfunctie bsearch().
- De implementatie van de functie by_file_ctrl(), EVP_Cipher{Init,Update,Final}() en de API OBJ_* is vereenvoudigd.
- Er is een grote reorganisatie van de EVP API uitgevoerd. Functies EVP_add_{cipher,digest}() zijn verwijderd.
- De verwerking van X509_TRUST is vereenvoudigd.
- De functies BIO_dump*() zijn herschreven.
- De ondersteuning voor globale tabellen die niet zijn aangepast voor multithreading is stopgezet. Daarom wordt het nu niet ondersteund om aliassen toe te wijzen aan encrypties en hashes, eigen strings, ASN.1-methoden, PKEY en CRL toe te voegen.
- De functies BIO_set(), BIO_{sn,v,vsn}printf(), sk_find_ex() en OBJ_bsearch_() zijn verwijderd, evenals veel verouderde functies van de CRYPTO API.
- Openbare toegang tot de API X509_CERT_AUX en X509_TRUST is stopgezet.
- De ondersteuning voor GOST- en STREEBOG-algoritmen is stopgezet.
- De ondersteuning voor de CET (Control-flow Enforcement Technology), gebruikt ter bescherming tegen exploits die zijn gebouwd met behulp van Return-Oriented Programming (ROP), is uitgebreid.
Bron: opennet.ru
