A avut loc lansarea bibliotecii OpenSSL 3.5.0 cu implementarea protocoalelor SSL/TLS și a diferitelor algoritmi de criptare. OpenSSL 3.5 este clasificat ca un release cu suport pe termen lung (LTS), actualizările fiind eliberate timp de 5 ani (până în aprilie 2030). Suportul pentru versiunile anterioare OpenSSL 3.3, 3.2 și 3.0 LTS va dura până în aprilie 2026, noiembrie 2025 și septembrie 2026, respectiv. Codul proiectului este distribuit sub licența Apache 2.0.
Principalele noutăți:
- A fost adăugată suport pentru algoritmi criptografici rezistenți la atacuri cu computere cuantice:
- ML-KEM (CRYSTALS-Kyber) — algoritm de schimb de chei care utilizează metode de criptografie bazate pe soluționarea problemelor din teoria grilelor, timpul de soluționare nefiind diferit între computerele obișnuite și cele cuantice.
- ML-DSA (CRYSTALS-Dilithium) — algoritm de generare a semnăturilor digitale, care se bazează pe teoria grilelor.
- SLH-DSA (Sphincs+) — algoritm de generare a semnăturilor digitale, care utilizează metode de criptografie bazate pe funcții hash. SLH-DSA este mai puțin eficient decât ML-DSA în ceea ce privește dimensiunea semnăturilor și viteza de execuție, dar se bazează pe principii matematice complet diferite, care îl fac eficient în cazul compromiterii algoritmilor bazați pe teoria grilelor.
- A fost implementat suportul complet pentru protocolul QUIC (RFC 9000), care este acum disponibil nu doar pentru aplicații client, ci și pentru aplicații server. QUIC reprezintă un strat deasupra protocolului UDP, suportând multiplexarea mai multor conexiuni și oferind metode de criptare echivalente cu TLS. Protocolul QUIC este folosit în HTTP/3 și a fost creat ca o alternativă la combinația TCP+TLS, rezolvând problemele cu timpii mari de inițiere și de negociere a conexiunilor în TCP, precum și eliminând întârzierile cauzate de pierderea pachetelor în timpul transmisiei de date.
- A fost adăugată posibilitatea de a utiliza stive externe cu implementarea protocolului QUIC, inclusiv stive care suportă modul 0-RTT (0 Round Trip Time), permițând începerea imediată a transmisiei de date după trimiterea pachetului de stabilire a conexiunii.
- A fost adăugată suportul pentru obiecte opace (opaque) ale cheilor simetrice (EVP_SKEY), care ascund detaliile implementării cheii.
- A fost adăugat parametrul „no-tls-deprecated-ec” pentru a dezactiva suportul pentru grupurile TLS declarate învechite în RFC-8422.
- A fost adăgat parametrul „enable-fips-jitter”, care activează utilizarea sursei de entropie bazate pe jitter în furnizorul FIPS, implementat prin biblioteca jitterentropy. Formarea entropiei bazate pe jitter se realizează prin măsurarea diferențelor în timpul reexecutării unui anumit set de instrucțiuni pe CPU, care depinde de numeroși factori interni și este imprevizibil fără control fizic asupra CPU-ului.
- În CMP (Certificate Management Protocol) a fost adăugată suport pentru generarea centralizată a cheilor (cheia publică și cheia privată pentru client sunt generate pe partea serverului). server).
- A fost adăugată suport pentru furnizarea mai multor seturi de chei (keyshares) pentru o singură conexiune TLS.
- A fost adăugat API pentru procesarea în conductă (pipelining), care permite procesarea simultană a mai multor blocuri de date utilizând anumite cifre, cum ar fi AES-GCM, care suportă calculul paralel.
- În aplicațiile req, cms și smime, algoritmul de criptare implicit a fost schimbat de la des-ede3-cbc la aes-256-cbc.
- În lista de cifre implicite pentru TLS au fost incluse și selectate prioritare grupuri hibride KEM (Key Encapsulation Mechanism), rezistente la atacurile cu computere cuantice.
- În setul de chei (keyshares), utilizate implicit în TLS, au fost adăugate algoritmii X25519MLKEM768 și X25519.
- Funcțiile BIO_meth_get_*() au fost declarate învechite.
Sursa: opennet.ro
