Na anderhalf jaar ontwikkeling is de library OpenSSL 3.1.0 uitgebracht met implementatie van de SSL/TLS protocollen en verschillende encryptie-algoritmes. Ondersteuning voor OpenSSL 3.1 zal doorgaan tot maart 2025. Ondersteuning voor de eerdere versies OpenSSL 3.0 en 1.1.1 zal eindigen in september 2026 en september 2023 respectievelijk. De code van het project wordt verspreid onder de Apache 2.0-licentie.
Hoofdkenmerken van OpenSSL 3.1.0:
- In de FIPS-module is ondersteuning geïmplementeerd voor cryptografische algoritmes die voldoen aan de FIPS 140-3 veiligheidsnorm. Het certificeringsproces van de module is gestart om een certificaat in overeenstemming met de eisen van FIPS 140-3 te verkrijgen. Totdat de certificering is voltooid na de update van OpenSSL naar de 3.1 tak, kunnen gebruikers de FIPS-module blijven gebruiken die gecertificeerd is voor FIPS 140-2. Onder de veranderingen in de nieuwe versie van de module zijn de toevoeging van de algoritmes Triple DES ECB, Triple DES CBC en EdDSA, die voorlopig niet zijn getest op de eisen van FIPS. Ook zijn er optimalisaties aangebracht in de nieuwe versie om de prestaties te verbeteren en is de overstap gemaakt naar het uitvoeren van interne tests bij elke module-update, en niet alleen na installatie.
- De OSSL_LIB_CTX-code is herzien. De nieuwe versie vermijdt onnodige vergrendelingen en biedt een hogere prestaties.
- De prestaties van de encoder- en decoderframeworks zijn verbeterd.
- De prestaties zijn geoptimaliseerd met betrekking tot het gebruik van interne structuren (hash-tabellen) en caching.
- De snelheid van RSA-sleutelgeneratie in FIPS-modus is verhoogd.
- Voor verschillende processorarchitecturen zijn specifieke assembleroptimalisaties aangebracht bij de implementatie van de AES-GCM, ChaCha20, SM3, SM4 en SM4-GCM algoritmes. Bijvoorbeeld, de AES-GCM-code is versneld met behulp van de AVX512 vAES en vPCLMULQDQ instructies.
- In KBKDF (Key Based Key Derivation Function) is ondersteuning toegevoegd voor het KMAC (KECCAK Message Authentication Code) algoritme.
- Diverse functies 'OBJ_*' zijn aangepast voor gebruik in multithreaded code.
- De mogelijkheid is toegevoegd om de instructie RNDR en de registers RNDRRS, beschikbare in AArch64-gebaseerde processoren, te gebruiken voor generatie van pseudowillekeurige getallen.
- De functies OPENSSL_LH_stats, OPENSSL_LH_node_stats, OPENSSL_LH_node_usage_stats, OPENSSL_LH_stats_bio, OPENSSL_LH_node_stats_bio en OPENSSL_LH_node_usage_stats_bio zijn verouderd verklaard. Het macro DEFINE_LHASH_OF is als verouderd gemarkeerd.
Bron: opennet.ru
