Аннотация:
22 октября 2026 года проект программного обеспечения для шифрования с открытым исходным кодом LibreSSL выпустил официальную версию 4.4.0. Это первая стабильная версия серии 4.4.x, которая также поставляется с OpenBSD 8.0. Новая версия содержит ряд исправлений безопасности, улучшений производительности и обновлений совместимости платформ, в которых основное внимание уделяется удалению корневого сертификата eMudhra с угрозами безопасности, оптимизации эффективности выполнения алгоритма SHA-3 и исправлению множества проблем при обработке сертификатов TLS, DTLS и X.509.
Подробнее:
https://www.libressl.org/
LibreSSL, первоначально запущенная в рамках проекта OpenBSD, представляет собой библиотеку программного обеспечения для зашифрованной связи, ориентированную на безопасность и простоту кода. Он основан на коде OpenSSL, но в процессе разработки постепенно удаляются некоторые старые интерфейсы и сложные функции, а также вносятся постоянные корректировки для обеспечения безопасности, удобства обслуживания и современных протоколов шифрования. LibreSSL не только обеспечивает основу шифрования для OpenBSD, но также имеет портативную версию, которая может работать в различных операционных системах, таких как Linux, FreeBSD, NetBSD, macOS и Windows.Одним из наиболее важных изменений в версии 4.4.0 является настройка набора доверенных корневых сертификатов по умолчанию. Команда разработчиков удалила корневой сертификат emSign ECC Root CA — G3 eMudhra из файла сертификата cert.pem по умолчанию, поскольку некоторые центры сертификации более низкого уровня в системе сертификации использовали ключи с недостаточной надежностью. В целях совместимости разработчики также добавили незатронутые промежуточные сертификаты.
Эта настройка затрагивает механизм доверия сертификатов в соединениях HTTPS. Браузеры, операционные системы и программное обеспечение для шифрования обычно используют доверенные корневые сертификаты, чтобы определить, выдан ли сертификат веб-сайта доверенной организацией. Если в системе сертификатов есть проблемы с безопасностью, такие как недостаточная надежность ключа, злоумышленники могут воспользоваться слабыми местами, чтобы попытаться подделать сертификаты или обойти некоторые проверки доверия. Таким образом, удаление опасных корневых сертификатов может помочь снизить соответствующие риски безопасности.
Команда разработчиков специально напоминает, что при обновлении необходимо проверять локальный файл сертификата. Поскольку существующие файлы cert.pem, openssl.cnf и x509v3.cnf больше не перезаписываются автоматически при переустановке LibreSSL, пользователям может потребоваться вручную проверять и объединять изменения сертификата, если менеджер пакетов не обрабатывает автоматическое объединение конфигурации. Команда разработчиков рекомендует подтвердить, что запись корневого сертификата «CN=emSign ECC Root CA — G3» больше не включена в cert.pem.
Что касается производительности, LibreSSL 4.4.0 улучшает реализацию алгоритма SHA-3 и использует такие методы оптимизации, как развернутые циклы и чередующаяся обработка, для повышения эффективности выполнения связанных вычислений. SHA-3 — это криптографический алгоритм хеширования, который можно использовать для проверки целостности данных, цифровых подписей и других протоколов безопасности. Данное улучшение в основном направлено на саму реализацию алгоритма. На фактическое улучшение производительности будут влиять архитектура процессора, компилятор и конкретная рабочая нагрузка.
В новой версии также улучшена совместимость компиляции и среды выполнения на нескольких платформах. На стороне macOS исправлена проблема с сетевой функцией netcat (nc) и добавлена поддержка сборки для macOS 27.0. В среде Windows команда разработчиков исправила некоторые проблемы в компиляторе MSVC, в том числе оптимизатор ARM64, генерирующий коды ошибок в арифметических кодах больших целых чисел с постоянным временем, а также улучшила сетевые подключения, чтение и запись файлов, а также синхронизацию потоков на уровне совместимости с Windows.
Для Linux и других Unix-подобных систем в новой версии улучшена поддержка сборки SHA на платформе AArch64, а также добавлены или улучшены конфигурации реализации сборки для RISC-V, MIPS и других архитектур. Кроме того, система сборки CMake теперь будет использовать параметры снижения безопасности компилятора и компоновщика, соответствующие методу сборки Autotools, что делает программное обеспечение, созданное с помощью различных процессов сборки, более согласованным с точки зрения усиления безопасности.
LibreSSL 4.4.0 также содержит ряд исправлений, касающихся реализации протоколов TLS и DTLS. Команда разработчиков улучшила логику обработки сервера TLS 1.3, когда обе стороны не имеют взаимно поддерживаемой криптографической группы, и исправила некоторые проблемы в процессе установления связи. Улучшения, связанные с DTLS, включают обработку сообщений подтверждения, запись порядковых номеров и очереди данных, направленные на повышение надежности соединения и согласованности обработки протокола.
Проверка сертификата X.509 — еще одно важное направление обновления. В новой версии устранены проблемы с разрешением имени хоста URI в ограничениях имени сертификата, включая правильную обработку литералов адреса IPv6 и предотвращение обхода специально созданной пользовательской информации обхода проверок имени хоста. Кроме того, команда разработчиков также улучшила логику, такую как проверка цепочки сертификатов, адрес электронной почты и проверка имени субъекта, чтобы еще больше снизить риски безопасности в процессе анализа и проверки сертификатов.
В LibreSSL 4.4.0 также исправлено несколько дефектов, которые могут вызвать проблемы с безопасностью памяти, включая запись за пределами границ, чтение за пределами границ, доступ к нулевому указателю и неправильное освобождение памяти в некоторых буферах. Команда разработчиков также скорректировала механизм обработки ошибок некоторых операций шифрования, чтобы программа не могла продолжать использовать данные, которые не были должным образом инициализированы после сбоя.
Что касается совместимости, в новой версии предпочтительная группа обмена ключами TLS 1.3 в libtls изменена на X25519MLKEM768. Эта комбинация сочетает в себе традиционный обмен ключами с эллиптической кривой X25519 с механизмом пост-квантовой инкапсуляции ключей ML-KEM, целью которого является обеспечение перспективных возможностей квантовой безопасности для соединений TLS. Это не означает, что все приложения, использующие LibreSSL, будут автоматически включать одну и ту же конфигурацию, конкретное поведение по-прежнему зависит от того, как приложение вызывает libtls и его настройки подключения.
Кроме того, команда разработчиков объявила устаревшим интерфейс цепочки сертификатов с вводящим в заблуждение именем tls_peer_cert_chain_pem() и рекомендовала разработчикам вместо этого использовать такие интерфейсы, как tls_peer_cert_chain_verified_pem() или tls_peer_cert_bundle_unverified_pem(), чтобы более четко различать проверенные и непроверенные данные цепочки сертификатов. Проект также продолжает очищать старый код, удаляя логику обработки протоколов и устаревшие интерфейсы, которые больше не нужны.
Проект LibreSSL заявил, что новая версия продолжает цель постоянного улучшения безопасности, надежности и переносимости кода, и приглашает сообщество продолжать оставлять отзывы и предложения по улучшению. Для специалистов по обслуживанию систем и разработчиков программного обеспечения версия 4.4.0 — это не только обычное обновление версии, но также содержит изменения доверия сертификатов и исправления безопасности, требующие внимания.
В целом, цель LibreSSL 4.4.0 — не внедрение нового алгоритма шифрования, а дальнейшее укрепление существующей инфраструктуры шифрования, оптимизация производительности часто используемых алгоритмов и улучшение совместимости с различными операционными системами и архитектурами процессоров. В проектах программного обеспечения, в которых используется LibreSSL для установления соединений TLS, проверки сертификатов или обработки зашифрованных данных, перед обновлением следует проверить совместимость интерфейса и конфигурацию локального сертификата, а также организовать тестирование и развертывание в соответствии с вашей собственной средой.
Комментарии