Przygotowano wydanie kompaktowej biblioteki kryptograficznej wolfSSL 5.1.0, zoptymalizowanej do użytku na urządzeniach wbudowanych o ograniczonych zasobach procesora i pamięci, takich jak urządzenia Internetu Rzeczy, systemy inteligentnego domu, samochodowe systemy informacyjne, routery i telefony komórkowe. Kod napisany jest w języku C i rozpowszechniany na licencji GPLv2.
Biblioteka zapewnia wysokowydajne implementacje nowoczesnych algorytmów kryptograficznych, w tym ChaCha20, Curve25519, NTRU, RSA, Blake2b, TLS 1.0-1.3 i DTLS 1.2, które według twórców są 20 razy bardziej kompaktowe niż implementacje z OpenSSL. Zapewnia zarówno własne uproszczone API, jak i warstwę zapewniającą kompatybilność z API OpenSSL. Obsługiwane są protokoły OCSP (protokół stanu certyfikatów online) i CRL (lista odwołań certyfikatów) do sprawdzania unieważnień certyfikatów.
Główne innowacje wolfSSL 5.1.0:
- Dodano obsługę platform: NXP SE050 (z obsługą Curve25519) i Renesas RA6M4. W przypadku Renesas RX65N/RX72N dodano obsługę TSIP 1.14 (Trusted Secure IP).
- Dodano możliwość wykorzystania algorytmów kryptografii postkwantowej w porcie dla serwera http Apache. W przypadku protokołu TLS 1.3 zaimplementowano schemat podpisu cyfrowego FALCON rundy 3 NIST. Dodano testy cURL skompilowanego z wolfSSL w trybie wykorzystania kryptoalgorytmów odpornych na selekcję na komputerze kwantowym.
- Aby zapewnić kompatybilność z innymi bibliotekami i aplikacjami, do warstwy dodano obsługę NGINX 1.21.4 i Apache httpd 2.4.51.
- Dodano obsługę flagi SSL_OP_NO_TLSv1_2 oraz funkcji SSL_CTX_get_max_early_data, SSL_CTX_set_max_early_data, SSL_set_max_early_data, SSL_get_max_early_data, SSL_CTX_clear_mode, SSL_CONF_cmd_value_type, SSL_read_early_data, SSL_write_ear do kodu dla OpenS Kompatybilność SL ly_data.
- Dodano możliwość zarejestrowania funkcji wywołania zwrotnego w celu zastąpienia wbudowanej implementacji algorytmu AES-CCM.
- Dodano makro WOLFSSL_CUSTOM_OID do generowania niestandardowych OID dla CSR (żądanie podpisania certyfikatu).
- Dodano obsługę deterministycznych podpisów ECC, włączaną przez makro FSSL_ECDSA_DETERMINISTIC_K_VARIANT.
- Dodano nowe funkcje wc_GetPubKeyDerFromCert, wc_InitDecodedCert, wc_ParseCert i wc_FreeDecodedCert.
- Naprawiono dwie luki w zabezpieczeniach o niskiej wadze. Pierwsza podatność umożliwia atak DoS na aplikację kliencką podczas ataku MITM na połączenie TLS 1.2. Druga podatność dotyczy możliwości przejęcia kontroli nad wznowieniem sesji klienta w przypadku korzystania z proxy opartego na wolfSSL lub połączeń, które nie sprawdzają całego łańcucha zaufania w certyfikacie serwera.
Źródło: opennet.ru