OpenSSL 4.1 a fost lansat: Suport oficial pentru DTLS 1.3, mecanismul GREASE și optimizări majore pentru criptografia post-cuantică

 

Proiectul OpenSSL a anunțat lansarea oficială a versiunii 4.1, o actualizare funcțională de amploare a celei mai utilizate biblioteci criptografice open-source din lume. Noua ediție aduce la paritate protocolul de transport securizat pe bază de datagrame prin suportul pentru DTLS 1.3, implementează mecanismul anti-osificare GREASE și livrează accelerări esențiale de calcul prin instrucțiuni vectoriale AVX-512 pentru algoritmii rezistenți la calculatoare cuantice (PQC).

Inovațiile centrale de protocol: DTLS 1.3 și mecanismul GREASE

• DTLS 1.3 (RFC 9147): Reprezintă cel mai important pas înainte în securizarea comunicațiilor pe bază de datagrame (UDP — utilizate masiv în WebRTC, streaming media, VPN-uri și jocuri online, unde pachetele pot sosi dezordonate sau se pot pierde). DTLS 1.3 aduce arhitectura protocolului la nivelul de securitate și simplitate din TLS 1.3, eliminând algoritmii moșteniți și reducând timpii de negociere a sesiunilor (handshake latency).

• GREASE (RFC 8701): Generate Random Extensions And Sustain Extensibility — un mecanism esențial care injectează valori aleatorii rezervate în negocierile TLS/DTLS. Scopul este prevenirea „osificării” ecosistemului (împiedicarea implementărilor intermediare defectuoase de firewall sau proxy de a deveni dependente de un set fix de valori admise), garantând că extensiile viitoare vor putea fi adoptate fără a rupe compatibilitatea pe rețele.

Criptografie post-cuantică și optimizări hardware x86-64 / PPC64LE

OpenSSL 4.1 accelerează adopția standardelor NIST post-cuantice prin implementări optimizate direct în limbaj de asamblare:

Arhitectură	Algoritmi / Primitive	Optimizări hardware aduse
x86-64	ML-DSA (semnături digitale)	Operațiuni accelerate hardware și procesare vectorială AVX-512 SHAKE x4.
x86-64	AES-CBC (decriptare clasică)	Optimizări combinate folosind seturile de instrucțiuni AVX-512 și VAES (Vector AES).
PPC64LE	ML-DSA & ML-KEM	Operațiuni optimizate NTT (Number Theoretic Transform) pe procesoarele IBM Power.
Elbrus2000	Suport general de arhitectură	Introducerea suportului inițial pentru arhitectura E2K.

Schimbări în API și curățarea platformelor vechi

Pentru a menține codul suplu și modern, au fost operate ajustări de interfață și au fost eliminate ținte hardware învechite:

• Extinderi de API: Suportul DTLS a fost adăugat în API-ul SSL listener. În plus, biblioteca introduce suport pentru funcția de derivare a cheilor din IKEv2 (IKEv2 Key Derivation Function).

• Opțiuni de configurare eliminate: Flag-urile no-ecdsa și no-ecdh au fost scoase definitiv (deoarece nu dezactivau complet implementările asociate); dezvoltatorii trebuie să folosească de acum parametrul unificat no-ec pentru a dezactiva suportul de curbe eliptice.

• Platforme retrase: Au fost eliminate definitiv țintele de compilare pentru Windows CE și Windows pe arhitectura Itanium (IA-64).

• Dependență Perl pentru utilitare: Utilitarul tsget a renunțat la modulul abandonat WWW::Curl::Easy și solicită acum instalarea pachetului Perl modern Net::Curl::Easy.

Probleme cunoscute în ramura DTLS

Echipa OpenSSL a documentat transparent patru erori cunoscute în această primă versiune 4.1, toate legate de noul subsistem DTLS:

1. Retransmiterea eronată a anumitor înregistrări după primirea mesajelor de tip KeyUpdate în DTLS 1.3;

2. Raportare incorectă a erorilor pe conexiunile gestionate prin DTLS listener;

3. Eșecuri ocazionale la negocierea conexiunii (handshake) în condiții severe de pierdere a pachetelor pe rețea.

Corecțiile pentru aceste cazuri particulare sunt programate pentru actualizările minore următoare (OpenSSL 4.1.1).

Sursa articolului: Linuxiac — OpenSSL 4.1 Released with DTLS 1.3 Support, Crypto Optimizations