Após um ano e meio de desenvolvimento, foi lançado a biblioteca OpenSSL 3.1.0 com a implementação dos protocolos SSL/TLS e vários algoritmos de criptografia. O suporte ao OpenSSL 3.1 será mantido até março de 2025. O suporte para as versões anteriores OpenSSL 3.0 e 1.1.1 continuará até setembro de 2026 e setembro de 2023, respectivamente. O código do projeto é distribuído sob a licença Apache 2.0.
Novidades principais do OpenSSL 3.1.0:
- No módulo FIPS, foi implementado o suporte a algoritmos criptográficos que atendem ao padrão de segurança FIPS 140-3. O processo de certificação do módulo para obter o certificado de conformidade com os requisitos do FIPS 140-3 foi iniciado. Até que a certificação seja concluída após a atualização do OpenSSL para a versão 3.1, os usuários poderão continuar usando o módulo FIPS, certificado para FIPS 140-2. As mudanças na nova versão do módulo incluem a adição dos algoritmos Triple DES ECB, Triple DES CBC e EdDSA, que ainda não foram verificados quanto à conformidade com os requisitos do FIPS. Além disso, a nova versão trouxe otimizações para melhorar o desempenho e a transição para a execução de testes internos em cada carregamento do módulo, e não apenas após a instalação.
- O código OSSL_LIB_CTX foi reestruturado. A nova versão elimina bloqueios desnecessários e permite obter maior desempenho.
- O desempenho dos frameworks de codificação e decodificação foi melhorado.
- Realizou-se otimização de desempenho relacionada ao uso de estruturas internas (tabelas hash) e ao cache.
- A velocidade de geração de chaves RSA no modo FIPS foi aumentada.
- Para várias arquiteturas de processador, foram realizadas otimizações específicas em assembly na implementação dos algoritmos AES-GCM, ChaCha20, SM3, SM4 e SM4-GCM. Por exemplo, o código AES-GCM foi acelerado usando instruções AVX512 vAES e vPCLMULQDQ.
- Na KBKDF (Função de Derivação de Chaves Baseada em Chave) foi adicionada a suporte ao algoritmo KMAC (Código de Autenticação de Mensagem KECCAK).
- Diversas funções 'OBJ_*' foram adaptadas para uso em código multithread.
- Foi adicionada a possibilidade de utilizar as instruções RNDR e os registradores RNDRRS, disponíveis em processadores com arquitetura AArch64, para a geração de números pseudoaleatórios.
- As funções OPENSSL_LH_stats, OPENSSL_LH_node_stats, OPENSSL_LH_node_usage_stats, OPENSSL_LH_stats_bio, OPENSSL_LH_node_stats_bio e OPENSSL_LH_node_usage_stats_bio foram descontinuadas. A macro DEFINE_LHASH_OF foi declarada obsoleta.
Fonte: opennet.ru
