Rustls är kompatibelt med OpenSSL och nginx

ISRG (Internet Security Research Group), som är grundaren av projektet Let’s Encrypt och bidrar till utvecklingen av teknologier för att öka internets säkerhet, har meddelat publiceringen av rustls-openssl-compat, ett lager som gör det möjligt att använda Rustls-biblioteket som en transparent ersättning för OpenSSL. För närvarande erbjuder projektet en implementation av rustls-libssl som säkerställer kompatibilitet med libssl, medan en implementation av libcrypto är under utveckling.

Den funktionalitet som finns i lagret är tillräcklig för att få nginx att fungera med Rustls. För att överföra nginx till Rustls krävs det bara att byta ut biblioteken, utan behov av ombyggnad eller ändringar i nginx. Bland de kommande planerna för Rustls utveckling nämns optimering av prestanda inom de områden där Rustls för närvarande ligger efter OpenSSL, samt att säkerställa stöd för RFC 8879 för komprimering av certifikat. Dessutom nämns i meddelandet en plan för att överföra komponenterna i certifikatutfärdaren Let’s Encrypt från OpenSSL till Rustls.

Rustls-projektet utvecklar en klient- och serverimplementation av TLS1.2 och TLS1.3-protokollen för användning i applikationer skrivna i Rust. Rustls tillhandahåller ingen egen implementation av kryptografiska primitiva, utan använder modulära kryptografiska funktioner (algoritmer som ECDSA, Ed25519, RSA, ChaCha20-Poly1305, AES128-GCM och AES256-GCM stöds). Standardkryptoleverantören i Rustls baseras på aws-lc-rs-biblioteket, som utvecklas av Amazon och är baserat på C++-koden från BoringSSL, som underhålls av Google-forken av OpenSSL. Även ring-biblioteket, som delvis bygger på BoringSSL och kombinerar kod i assembler, C++ och Rust, kan användas som kryptoleverantör.

Det är värt att notera att nginx har inbyggt stöd för byggnation med BoringSSL, vilket gör att detta bibliotek kan användas direkt utan extra lager. Förutom det inbyggda stödet i Rustls för aws-lc-rs och ring-bibliotek som baseras på BoringSSLs kod, utvecklas det också flera tredjeparts kryptoleverantörer för Rustls, vilket gör det möjligt att använda mbedtls (C-kod), BoringSSL (C++) och RustCrypto (Rust).

Källa: opennet.ru