OpenSSL 4.1: Оновлення криптографічної бібліотеки

Команда OpenSSL оголосила про вихід OpenSSL 4.1, оновлення функцій відкритої криптографічної бібліотеки, яка використовується для захисту мережевих комунікацій.

Основні нововведення OpenSSL 4.1

Найбільшим нововведенням є підтримка DTLS 1.3, що визначається в RFC 9147. Datagram Transport Layer Security забезпечує безпеку, схожу на TLS, для комунікацій на основі датаграм, зокрема UDP, де пакети можуть прибувати з затримками або бути втрачені. Версія 1.3 модернізує протокол, впроваджуючи покращення безпеки на основі TLS 1.3.

Покращення продуктивності криптографії

Разом з цим, OpenSSL 4.1 реалізує GREASE, зазначений у RFC 8701. Цей механізм допомагає запобігти залежності реалізацій протоколів від фіксованого набору визнаних значень, що полегшує введення нових розширень без проблем з сумісністю.

Ще одне помітне покращення – криптографічна продуктивність, особливо для пост-квантових алгоритмів. OpenSSL 4.1 вводить оптимізовані операції Номінальної Теорії Перетворення для ML-DSA і ML-KEM на PPC64LE системах, разом з прискореними ML-DSA операціями на процесорах x86-64.

Розширення можливостей API

Випуск також додає оптимізовані для AVX-512 операції SHAKE x4 для ML-DSA та AVX-512 і VAES оптимізації для AES-CBC дешифрування на x86-64. Ці зміни покращують продуктивність на підтримуваних процесорах.

На стороні API підтримка DTLS була додана до SSL listener API, а підтримка IKEv2 Key Derivation Function розширює криптографічні можливості бібліотеки. Початкова підтримка архітектури процесора Elbrus2000 також включена.

Зміни сумісності в OpenSSL 4.1

Є кілька змін сумісності, які варто згадати. OpenSSL 4.1 відмовляється від цільових платформ для Windows CE та Windows на Itanium. Конфігураційні параметри no-ecdsa і no-ecdh були видалені, оскільки не відключали відповідні реалізації. Розробники тепер повинні використовувати no-ec, щоб відключити підтримку еліптичних кривих.

Крім того, утиліта tsget перейшла з застарілого модуля WWW::Curl::Easy на Net::Curl::Easy. Усі, хто покладається на цю утиліту, повинні встановити нову залежність перед оновленням.

Відомі проблеми OpenSSL 4.1

Однак команда OpenSSL задокументувала чотири відомі проблеми в версії 4.1, які всі пов’язані з функціональністю DTLS. До них входять проблеми з повторною передачею певних записів після повідомлень KeyUpdate DTLS 1.3, неправильна реєстрація помилок на DTLS listener з’єднаннях, а також збої в рукопожатті за специфічних умов втрати пакетів. Виправлення планується в майбутніх релізах.

Для отримання додаткової інформації, зверніть увагу на випускні нотатки.