OpenSSL 4.1: Mehr Tempo für die Post-Quanten-Kryptografie

Die quelloffene Kryptografiebibliothek OpenSSL ist in Version 4.1.0 erschienen und unterstützt jetzt DTLS 1.3.

DTLS 1.3 basiert auf TLS 1.3, sichert aber die Kommunikation über Datagrammprotokolle wie UDP ab. Auch die SSL-Listener-API von OpenSSL beherrscht nun DTLS. Auf Details geht der DTLS-1.3-Leitfaden in der OpenSSL-Dokumentation ein.

Die Implementierung weist allerdings noch vier Fehler auf: So kann ein Server den Handshake mit dem Alert unexpected_message abbrechen, wenn der Client Nachrichten aus der ersten Serverantwort bestätigt, bevor er selbst antwortet. Das passiert etwa nach einem Paketverlust. Empfängt OpenSSL ein KeyUpdate, entfernt die Bibliothek außerdem alle anderen noch unbestätigten Post-Handshake-Nachrichten aus dem Puffer für erneute Übertragungen. Geht dann etwa ein Sitzungsticket (NewSessionTicket) verloren, schickt OpenSSL es nicht noch einmal. An einer Korrektur arbeitet das Projekt bereits.

Die beiden übrigen Fehler betreffen DTLS-Listener. Ein dauerhafter Empfangsfehler kann dort als SSL_ERROR_WANT_READ gemeldet werden, sodass Anwendungen weiter warten. Bei nicht blockierenden Verbindungen kann OpenSSL umgekehrt einen vorübergehenden Schreibfehler als SSL_ERROR_SYSCALL statt als SSL_ERROR_WANT_WRITE melden. Programme, die das als fatalen Fehler werten, schließen dann womöglich eine noch nutzbare Verbindung.

GREASE, Optimierungen und IKEv2

Neu ist zudem GREASE nach RFC 8701. Der Mechanismus streut reservierte Platzhalterwerte in den TLS-Handshake ein, etwa in die Liste der angebotenen Cipher-Suites. Aushandeln lassen sich diese Werte nicht. Die Gegenstelle soll unbekannte Angebote ignorieren, statt den Handshake abzubrechen. Das soll verhindern, dass TLS-Implementierungen an künftigen Protokollerweiterungen scheitern.

Optimiert hat das Team außerdem die Post-Quanten-Verfahren ML-DSA für digitale Signaturen und ML-KEM für die Schlüsselvereinbarung per Schlüsselkapselung. Auf ppc64le gelten die Optimierungen für beide Verfahren, auf x86_64 nur für ML-DSA. Ebenfalls auf x86_64 kommen für die AES-CBC-Entschlüsselung neue AVX-512- und VAES-Optimierungen hinzu.

Ebenso neu ist eine Schlüsselableitungsfunktion für IKEv2. Sie leitet aus dem gemeinsamen Geheimnis des Diffie-Hellman-Austauschs die Schlüssel ab, die das Protokoll benötigt.

Neue Abhängigkeit, gestrichene Build-Optionen

Wer mit tsget Zeitstempel von einem Zeitstempeldienst abruft, muss vor dem Upgrade das Perl-Modul Net::Curl::Easy aus der CPAN-Distribution Net-Curl installieren. Es ersetzt das nicht mehr gepflegte WWW::Curl::Easy.

Wer OpenSSL selbst baut, muss auf die Configure-Optionen no-ecdsa und no-ecdh verzichten. Sie haben die jeweiligen Implementierungen ohnehin nicht wirklich deaktiviert. Mit no-ec lässt sich stattdessen die gesamte Unterstützung für elliptische Kurven abschalten.

Alle Änderungen und bekannten Fehler listen die Release Notes zu OpenSSL 4.1.0 auf.