Выпуск LibreSSL 2.6.014.07.2017 10:15

Разработчики проекта OpenBSD представили выпуск переносимой редакции пакета LibreSSL 2.6.0, в рамках которого развивается форк OpenSSL, нацеленный на обеспечение более высокого уровня безопасности. Проект LibreSSL ориентирован на качественную поддержку протоколов SSL/TLS с удалением излишней функциональности, добавлением дополнительных средств защиты и проведением значительной чистки и переработки кодовой базы. Одновременно доступно корректирующее обновление прошлой ветки — 2.5.5, которая позиционируется как стабильная и формирует функциональность, которая включена в OpenBSD 6.1. Выпуск LibreSSL 2.6.0 рассматривается как экспериментальный, в котором развиваются возможности, которые войдут в состав OpenBSD 6.2.

Особенности LibreSSL 2.6.0:

Добавлены средства предоставления списков отозванных сертификатов (CRL) для libtls. Как только CRL будет предоставлен в libtls будет включена проверка полной цепочки доверия для сертификатов;
Из BoringSSL перенесена реализация HKDF (HMAC Key Derivation Function);
Реализована возможность обращения к серверу с виртуальными хостами на основе SNI через указание IP-адреса в качестве имени хоста;
Добавлена возможность использования трёх идентификаторов OID в сертификатах с расширенной проверкой EV (Extended Validation);
В libtls добавлена функция tls_peer_cert_chain_pem, которую можно использовать в callback-вызовах для приватной проверки сертификатов, как это делается, например, в relayd;
Переработан код для проверки имён в сертификатах TLS на соответствия требованиям RFC 6125;
Почищен и упрощён код для обработки обращений к серверам обмена ключами на основе эллиптических кривых (EC, Elliptic Curve);
Добавлена функция tls_keypair_clear_key для проведения чистки материалов ключа;
Заполнение полей со временем при генерации сертификата через команду «openssl ca» приведено в соответствие с требованиями RFC 5280;
Добавлен набор функций SSL{,_CTX}_set_{min, max}_proto_version ();
Добавлена функция tls_unload_file () для чистки памяти, возвращаемой после вызоваtls_load_file (), для того чтобы удостовериться, что осевшее в памяти содержимое недоступно после его обработки;
Прекращена поддержка набора шифров с аутентификацией DSS (Digital Signature Standard);
В команду nc добавлена опция »-W» для выхода после приёма определённого числа пакетов и опция »-Z» для сохранения сертификата другой стороны в pem-файле;
Из изменений в LibreSSL 2.5.5 отмечается улучшение совместимости с библиотекой bionic (Android libc) и разделение статусов самоподписанных сертификатов (self-signed) и самостоятельно выписанных сертификатов (self-issued).