Проектът OpenSSL пусна първата алфа версия на OpenSSL 4.1.0, давайки на разработчиците ранен поглед към версия, създадена за шифрирана комуникация през ненадеждни връзки и по-бърза постквантова криптография. Това отбелязва началния тестови вариант на версия, която все още е на месеци от официалното си пълно пускане.
Основното нововъдение е поддръжката за DTLS 1.3 — най-новата ревизия на протокола Datagram Transport Layer Security, дефинирана в RFC 9147. DTLS защитава трафика, изпращан през UDP вместо TCP — типът връзка, използван от видео разговори, VPN мрежи и IoT устройства, където пакетите могат да пристигат със закъснение или разбъркани. Версия 1.3 довежда този трафик до същото ниво на сигурност като TLS 1.3, затваряйки изоставането на DTLS внедряванията спрямо TCP аналозите им по отношение на функции като съвършена пряка поверителност (forward secrecy) и намален овърхед при установяване на връзка.
OpenSSL 4.1.0 alpha1 също така ускорява постквантовите алгоритми на OpenSSL, проектирани да устояват на атаки от бъдещи квантови компютри. Тя добавя оптимизирани операции ML-DSA и ML-KEM за архитектурата ppc64le, оптимизации на ML-DSA за s390x и x86_64, както и инструкции AVX-512 за ускоряване на хеширането SHAKE, от което зависи ML-DSA. Отделна оптимизация с AVX-512 и VAES ускорява декриптирането на AES-CBC при чипове x86_64. Нищо от това не променя действието на самите алгоритми. Променя се ресурсната цена за изпълнението им, което е от значение, тъй като организациите започват да мигрират своите производствени системи към постквантов обмен на ключове и електронни подписи преди появата на реална квантова заплаха.
Някои от промените ще засегнат съществуващи настройки. Инструментът за времеви печати tsget вече зависи от Perl модула Net::Curl::Easy вместо от неподдържания WWW::Curl::Easy, така че всеки, който използва tsget, трябва да инсталира новата зависимост преди обновяване. Системата за компилация премахва изцяло поддръжката за Windows-on-Itanium и Windows CE. Скриптът Configure премахва опциите no-ecdsa и no-ecdh, тъй като те така или иначе никога не са изключвали действително тези имплементации. Всеки, който иска да изключи поддръжката на елиптични криви, вече трябва да използва no-ec.
Версията добавя и няколко по-малки подобрения: поддръжка на GREASE според RFC 8701, което предотвратява блокирането на TLS клиенти и сървъри при неразпознати стойности на разширения; DTLS режим за SSL listener API; поддръжка за функцията за извеждане на ключове IKEv2, използвана при VPN преговори; както и първоначална поддръжка за процесорната архитектура Elbrus2000, използвана в някои системи от руско производство.
OpenSSL обикновено преминава през поредица от алфа и бета версии преди пускането на окончателния вариант, така че списъкът с функции все още може да се промени. Екипите, използващи DTLS в реална работна среда или вече тестващи постквантови внедрявания, имат най-ясно основание да започнат тестове още сега.
- криптиране
- отворен код
- OpenSSL
- софтуер
- SSL/TLS