Bol pustenie knižnice OpenSSL 4.0.0, ktorá ponúka implementáciu protokolov TLS a rôznych šifrovacích algoritmov. OpenSSL 4.0 patrí medzi verzie s bežnou dobou podpory, aktualizácie pre ktoré sa vydávajú počas 13 mesiacov. Podpora predchádzajúcich vetiev OpenSSL 3.6, 3.5 LTS, 3.4 a 3.0 LTS potrvá do novembra 2026, apríla 2030, októbra 2026 a septembra 2026, resp. Kód projektu je distribuovaný pod licenciou Apache 2.0.
Hlavné novinky:
- Pridaná podpora TLS rozšírenia ECH (Encrypted ClientHello, RFC 9849), určeného na šifrovanie informácií o parametroch TLS relácií, ako je požadované doménové meno. Na rozdiel od rozšírenia ESNI (Encrypted Server Name Indication) sa v ECH šifruje celé TLS správa ClientHello, čo bráni únikom prostredníctvom polí, ktoré ESNI nezahŕňa, napríklad pole PSK (Pre-Shared Key).
- Pridaná podpora algoritmov definovaných v RFC 8998, ktoré používajú štandardizovaný v Číne súbor kryptografických algoritmov SM2: algoritmus vytvárania digitálneho podpisu sm2sig_sm3, skupiny výmeny kľúčov curveSM2 a postkvantovej skupiny curveSM2MLKEM768.
- Pridaná kryptografická funkcia hašovania cSHAKE, založená na algoritme SHA-3 a umožňujúca vytvárať rôzne hašovanie na základe rovnakých vstupných údajov na ochranu pred útokmi, ktoré manipulujú s opakovaním údajov.
- Pridaný hybridný algoritmus „ML-DSA-MU“, kombinujúci postkvantový algoritmus vytvárania digitálneho podpisu ML-DSA (CRYSTALS-Dilithium) s klasickou hašovacou funkciou SHAKE256.
- Pridaná podpora funkcií vytvárania kľúčov SNMP KDF na báze HMAC-SHA a SRTP KDF na báze AES-CM, používaných v sieťových protokoloch SNMPv3 a SRTP na generovanie kryptografických kľúčov.
- Do príkazu „openssl fipsinstall“ bola pridaná možnosť „-defer_tests“, ktorá umožňuje odložiť spustenie testov pri inštalácii FIPS modulov.
- Pre platformu Windows bola implementovaná podpora používania statických alebo dynamických väzieb s Visual C++ Runtime.
- V TLS 1.2 bola pridaná podpora dohadovania výmeny kľúčov na základe algoritmu FFDHE, ktorý zodpovedá RFC 7919.
- Podpora SSLv3 a SSLv2 Client Hello bola zrušená.
- Podpora dynamicky načítaných ovládačov bola odstránená, miesto toho sa na rozšírenie funkcionality OpenSSL odporúča používanie konceptu pripojiteľných poskytovateľov.
- V TLS bola na fáze kompilácie vypnutá podpora zastaraných eliptických kriviek. Na ich opätovné povolenie môžete použiť možnosť „enable-tls-deprecated-ec“.
- Nástroj c_rehash bol odstránený, namiesto neho sa má použiť príkaz „openssl rehash“.
- Z príkazu „openssl ca“ bola odstránená zastaraná voľba „msie-hack“.
- Podpora vlastných metód EVP_CIPHER, EVP_MD, EVP_PKEY a EVP_PKEY_ASN1 bola odstránená.
- Zastarané funkcie SSL/TLS viazané na fixné verzie protokolov, ako napríklad „TLSv1_client_method()“, boli odstránené.
- Zastarané funkcie ERR_get_state(), ERR_remove_state() a ERR_remove_thread_state() boli odstránené.
- Podpora cieľových platforiem darwin-i386{,-cc} a darwin-ppc{,64}{,-cc} bola ukončená.
Zdroj: opennet.ru
