OpenSSL Bild © OpenSSL, DALL-EOpenSSL (Bild © OpenSSL, DALL-E)

Neu in OpenSSL 3.2

OpenSSL 3.2 soll den Umfang an Features weiter steigern und Unterstützung für Brainpool-Kurven innerhalb von TLS 1.3 und Raw Public Key (RFC7250) einführen. Weiterhin beinhaltet die Version 3.2 die Zertifikatskomprimierung mit Brotli und Zstd, SM4-XTS-Unterstützung, deterministische ECDSA-Signaturen, AES-GCM-SIV sowie Hybrid Public Key Encryption (HPKE).

Das OpenSSL-Team hat außerdem in Version 3.2 die Standardeinstellungen geändert und die Standard-SSL/TLS-Sicherheitsstufe von 1 auf 2 angehoben. Das ist aber noch immer eine konservative Haltung, da eigentlich TLSv1.3 empfohlen wird.

Die OpenSSL 3.2 Beta 1 ist auf GitHub erhältlich und kann getestet werden. Nachfolgend eine vollständige Liste der Neuerungen sowie Verbesserungen in Version 3.2.

Wichtige Änderungen zwischen OpenSSL 3.1 und OpenSSL 3.2

  • Client-seitige Unterstützung für QUIC hinzugefügt.
  • Mehrere Tutorials über die OpenSSL-Bibliothek und insbesondere über das Schreiben verschiedener Clients (unter Verwendung von TLS- und QUIC-Protokollen) mit libssl hinzugefügt.
  • Unterstützung für Brainpool-Kurven in TLS-1.3 hinzugefügt.
  • Unterstützung für Raw Public Key (RFC7250) wurde hinzugefügt.
  • Unterstützung für Zertifikatskompression (RFC8879), einschließlich Bibliotheksunterstützung für Brotli- und Zstandard-Kompression.
  • Unterstützung für alle fünf Instanzen von EdDSA aus RFC8032 wurde implementiert.
  • SM4-XTS-Unterstützung wurde implementiert.
  • Implementierung von Unterstützung für deterministische ECDSA-Signaturen (RFC6979).
  • Implementierte Unterstützung für AES-GCM-SIV (RFC8452).
  • Implementierung von Hybrid Public Key Encryption (HPKE) wie in RFC9180 definiert.
  • Mehrere neue Funktionen und Verbesserungen bei der Unterstützung des CMP-Protokolls.
  • Subject- oder Issuer-Namen in X.509-Objekten werden jetzt standardmäßig als UTF-8-Strings angezeigt.
  • Die Unterstützung von TCP Fast Open (RFC7413) ist unter Linux, macOS und FreeBSD verfügbar, sofern sie aktiviert ist und unterstützt wird.
  • Die Standard-SSL/TLS-Sicherheitsstufe wurde von 1 auf 2 geändert.
  • Volle Unterstützung für anbieterbasierte/steckbare Signaturalgorithmen in TLS 1.3-Operationen sowie Unterstützung für CMS- und X.509-Datenstrukturen. Mit einem geeigneten Provider ermöglicht dies die Verwendung von Post-Quantum/Quantum-Safe-Kryptographie.
  • Es ist nun möglich, die IANA-Standardnamen in der TLS-Verschlüsselungskonfiguration zu verwenden.
  • Die Anwendungen x509, ca und req erzeugen nun immer X.509v3-Zertifikate.
  • Unterstützung für Argon2d, Argon2i, Argon2id KDFs wurde zusammen mit einer grundlegenden Threadpool-Implementierung für ausgewählte Plattformen hinzugefügt.