Na anderhalf jaar ontwikkeling werd de OpenSSL 3.1.0-bibliotheek uitgebracht met de implementatie van de SSL / TLS-protocollen en verschillende versleutelingsalgoritmen. Ondersteuning voor OpenSSL 3.1 loopt door tot maart 2025. Ondersteuning voor verouderde OpenSSL 3.0- en 1.1.1-takken loopt door tot respectievelijk september 2026 en september 2023. De projectcode wordt gedistribueerd onder de Apache 2.0-licentie.
Belangrijkste innovaties van OpenSSL 3.1.0:
- De FIPS-module implementeert ondersteuning voor cryptografische algoritmen die voldoen aan de veiligheidsstandaard FIPS 140-3. Het modulecertificeringsproces is begonnen om FIPS 140-3-nalevingscertificering te verkrijgen. Totdat de certificering is voltooid na het upgraden van OpenSSL naar tak 3.1, kunnen gebruikers een FIPS-module blijven gebruiken die is gecertificeerd voor FIPS 140-2. Van de wijzigingen in de nieuwe versie van de module wordt de opname van de Triple DES ECB-, Triple DES CBC- en EdDSA-algoritmen vermeld, die nog niet zijn getest op naleving van FIPS-vereisten. Ook in de nieuwe versie zijn optimalisaties doorgevoerd om de prestaties te verbeteren en is er een overgang gemaakt naar het uitvoeren van interne tests bij elke modulebelasting, en niet alleen na installatie.
- Herwerkte OSSL_LIB_CTX-code. De nieuwe optie is vrij van onnodige sloten en stelt u in staat hogere prestaties te behalen.
- Verbeterde prestaties van de encoder- en decoderframeworks.
- Prestatieoptimalisatie uitgevoerd met betrekking tot het gebruik van interne structuren (hashtabellen) en caching.
- Verbeterde snelheid van het genereren van RSA-sleutels in FIPS-modus.
- AES-GCM-, ChaCha20-, SM3-, SM4- en SM4-GCM-algoritmen hebben specifieke assembler-optimalisaties voor verschillende processorarchitecturen. AES-GCM-code wordt bijvoorbeeld versneld met behulp van de AVX512 vAES- en vPCLMULQDQ-instructies.
- Ondersteuning voor het KMAC-algoritme (KECCAK Message Authentication Code) is toegevoegd aan KBKDF (Key Based Key Derivation Function).
- Verschillende "OBJ_*"-functies zijn aangepast voor gebruik in multi-threaded code.
- De mogelijkheid toegevoegd om de RNDR-instructie en RNDRRS-registers te gebruiken die beschikbaar zijn in processors op basis van de AArch64-architectuur om pseudo-willekeurige getallen te genereren.
- De functies OPENSSL_LH_stats, OPENSSL_LH_node_stats, OPENSSL_LH_node_usage_stats, OPENSSL_LH_stats_bio, OPENSSL_LH_node_stats_bio en OPENSSL_LH_node_usage_stats_bio zijn verouderd. Verouderde DEFINE_LHASH_OF-macro.
Bron: opennet.ru