Openssl je rozhraní API, které poskytuje vhodné prostředí pro šifrování odesílaných dat
Po roce a půl vývoje a několika opravných verzích v předchozí verzi bylo oznámeno vydání nové verze knihovny „OpenSSL 3.1.0“ s implementací protokolů SSL/TLS a několika šifrovacích algoritmů.
Podpora této nové verze OpenSSL 3.1 bude pokračovat do března 2025, zatímco podpora starších verzí OpenSSL 3.0 a 1.1.1 bude pokračovat do září 2026, respektive září 2023.
Pro ty, kteří nejsou s OpenSSL obeznámeni, jedná se o bezplatný softwarový projekt založený na SSLeay , který se skládá z robustní sady administračních nástrojů a knihoven souvisejících s kryptografií, jež poskytují kryptografické funkce dalším balíčkům, jako je OpenSSH a webové prohlížeče (pro bezpečný přístup k HTTPS webům).
Tyto nástroje pomáhají systému implementovat Secure Sockets Layer (SSL) a také další protokoly související se zabezpečením, jako je Transport Layer Security (TLS). OpenSSL také umožňuje vytvářet digitální certifikáty, které lze aplikovat na server, například Apache.
OpenSSL se používá při šifrovaném ověřování e-mailových klientů, webových transakcích pro platby kreditními kartami a v mnoha případech v systémech, které vyžadují zabezpečení informací, jež budou vystaveny v síti, „důvěrných dat“.
Hlavní nové funkce OpenSSL 3.1.0
V této nové verzi OpenSSL 3.1.0 je zdůrazněno, že modul FIPS implementuje podporu pro kryptografické algoritmy , které splňují bezpečnostní standard FIPS 140-3 , a že byl zahájen proces certifikace modulu pro získání certifikace shody s FIPS 140-3.
Uvádí se, že dokud nebude certifikace dokončena po aktualizaci OpenSSL na větev 3.1, mohou uživatelé nadále používat modul FIPS certifikovaný podle FIPS 140-2. Ze změn v nové verzi modulu vyniká zahrnutí algoritmů Triple DES ECB, Triple DES CBC a EdDSA, které dosud nebyly testovány na shodu s požadavky FIPS. Také v nové verzi byly provedeny optimalizace pro zlepšení výkonu a byl proveden přechod na spouštění interních testů při každém zatížení modulu, a to nejen po instalaci.
Další změna, která vyniká, je ta provedl změnu výchozí délky soli pro podpisy PKCS#1 RSASSA-PSS na maximální velikost, která je menší nebo rovna délce výtahu, aby byla dodržena
FIPS 186-4. To je implementováno novou volbou `OSSL_PKEY_RSA_PSS_SALT_LEN_AUTO_DIGEST_MAX` ("auto-digestmax") pro parametr `rsa_pss_saltlen`, který je nyní výchozí.
Kromě toho byl přepracován kód OSSL_LIB_CTX; nová možnost neobsahuje zbytečné zámky a umožňuje vyšší výkon.
Za zmínku stojí také vylepšený výkon frameworků kodéru a dekodéru , stejně jako optimalizace výkonu související s použitím interních struktur (hash tabulek) a ukládání do mezipaměti a také vylepšená rychlost generování klíčů RSA v režimu FIPS.
Algoritmy AES-GCM, ChaCha20, SM3, SM4 a SM4-GCM mají optimalizace assembleru specifické pro různé architektury procesorů. Například kód AES-GCM je akcelerován instrukcemi AVX512 vAES a vPCLMULQDQ.
Do funkce KBKDF (Key-Based Key Derivation Function) byla přidána podpora algoritmu KMAC (KECCAK Message Authentication Code) a několik funkcí „OBJ_*“ bylo upraveno pro použití ve vícevláknovém kódu.
Přidána možnost používat instrukci RNDR a registry RNDRRS dostupné na procesorech založených na architektuře AArch64 pro generování pseudonáhodných čísel.
Na druhou stranu je zmíněno, že makro `DEFINE_LHASH_OF` je nyní zastaralé ve prospěch makra `DEFINE_LHASH_OF_EX`, které vynechává odpovídající typově specifickou funkci pro definice těchto funkcí, bez ohledu na to, zda je definováno `OPENSSL_NO_DEPRECATED_3_1`. To je důvod, proč uživatelé `DEFINE_LHASH_OF` mohou začít dostávat upozornění na ukončení podpory těchto funkcí bez ohledu na to, zda je používají. Doporučuje se, aby uživatelé přešli na nové makro `DEFINE_LHASH_OF_EX`.
A konečně, pokud se chcete o této nové verzi dozvědět více, podrobnosti naleznete na následujícím odkazu.