OpenSSL 4.1: безпека мережі нового рівня

OpenSSL, фундаментальна бібліотека для забезпечення безпеки мережевих комунікацій у всьому світі, оновилася до версії 4.1. Це оновлення, випущене 23 жовтня, приносить значні покращення функціоналу та продуктивності, зокрема, найважливішою новинкою стала підтримка протоколу DTLS 1.3.

Що таке OpenSSL і чому це важливо?

OpenSSL – це відкритий інструментарій криптографічних бібліотек та утиліт командного рядка. Він забезпечує шифрування, автентифікацію та цілісність даних для мережевих комунікацій. Найбільш відомий приклад його використання – це безпечне з’єднання HTTPS, завдяки якому користувачі бачать значок замка в адресному рядку браузера. За цією безпекою зазвичай стоїть OpenSSL або подібні криптографічні бібліотеки.

Нові можливості OpenSSL 4.1

Підтримка DTLS 1.3

Ключовою особливістю нової версії є підтримка протоколу Datagram Transport Layer Security (DTLS) 1.3. Цей протокол призначений для сценаріїв передачі даних з використанням дейтаграм, таких як UDP. На відміну від TCP, пакети UDP можуть надходити не по порядку, губитися або дублюватися. DTLS 1.3 забезпечує шифрування, подібне до TLS, але без необхідності встановлення надійного з’єднання.

DTLS 1.3 в OpenSSL 4.1 базується на механізмах безпеки TLS 1.3, модернізуючи протокол. Це сприятиме підвищенню безпеки передачі даних у реальному часі для відео- та аудіозв’язку, ігор, пристроїв Інтернету речей (IoT) та додатків з низькою затримкою.

Механізм GREASE

У версії 4.1 реалізовано механізм GREASE (Generate Random Extension And Signature Equivalence), визначений у RFC 8701. Цей механізм вставляє випадкові, «безглузді» значення під час узгодження протоколу. Це запобігає надмірній залежності реалізацій від фіксованих параметрів, зменшуючи ризики несумісності при додаванні нових розширень протоколу в майбутньому.

Оптимізації постквантової криптографії

OpenSSL 4.1 також містить оптимізації для постквантової криптографії. Зокрема, для архітектури PPC64LE було оптимізовано операції з числами для алгоритмів ML-DSA та ML-KEM. На процесорах x86-64 прискорилися обчислення ML-DSA. Крім того, додано оптимізацію AVX-512 для операції SHAKE x4, яка використовується в ML-DSA, а також оптимізації AVX-512 та VAES для розшифрування AES-CBC.

API та підтримка архітектур

На рівні API додано підтримку DTLS для SSL-слухача, а також функцію виведення ключів IKEv2. OpenSSL 4.1 також отримав попередню підтримку процесорної архітектури Elbrus2000.

Важливі зміни для розробників

Варто зазначити, що нова версія припиняє підтримку цільових платформ Windows CE та Itanium. Також було внесено зміни до конфігураційних опцій, пов’язаних з еліптичними кривими. Розробникам слід ретельно перевірити свої залежності та скрипти збірки перед оновленням до OpenSSL 4.1.

Висновок

Оновлення OpenSSL 4.1 з підтримкою DTLS 1.3 та низкою оптимізацій криптографічних алгоритмів є важливим кроком для підвищення безпеки в Інтернеті, особливо для додатків, що потребують передачі даних у реальному часі. Воно підкреслює постійну роботу над зміцненням цифрового простору та адаптацією до нових викликів, включно з постквантовою загрозою.

Джерело: https://www.ithome.com/1/017/323.htm