Zusammenfassung:
Das Open-Source-Verschlüsselungssoftwareprojekt LibreSSL hat am 22. Oktober 2026 die offizielle Version 4.4.0 veröffentlicht. Dies ist die erste stabile Version der 4.4.x-Serie und wird auch mit OpenBSD 8.0 ausgeliefert. Die neue Version bringt eine Reihe von Sicherheitskorrekturen, Leistungsverbesserungen und Plattformkompatibilitätsaktualisierungen mit sich. Der Schwerpunkt liegt auf der Entfernung des eMudhra-Stammzertifikats mit Sicherheitsrisiken, der Optimierung der Ausführungseffizienz des SHA-3-Algorithmus und der Behebung mehrerer Probleme bei der Verarbeitung von TLS-, DTLS- und X.509-Zertifikaten.
Weitere Informationen:
https://www.libressl.org/
LibreSSL wurde ursprünglich vom OpenBSD-Projekt ins Leben gerufen und ist eine verschlüsselte Kommunikationssoftwarebibliothek, die sich auf Sicherheit und Einfachheit des Codes konzentriert. Es ist vom OpenSSL-Code abgeleitet, im Laufe des Entwicklungsprozesses werden jedoch nach und nach einige alte Schnittstellen und komplexe Funktionen entfernt und kontinuierliche Anpassungen für Sicherheit, Wartbarkeit und moderne Verschlüsselungsprotokolle vorgenommen. LibreSSL stellt nicht nur die Verschlüsselungsgrundlage für OpenBSD bereit, sondern verfügt auch über eine portable Version, die auf verschiedenen Betriebssystemen wie Linux, FreeBSD, NetBSD, macOS und Windows ausgeführt werden kann.Eine der wichtigsten Änderungen in Version 4.4.0 ist die Anpassung des standardmäßigen vertrauenswürdigen Stammzertifikatsatzes. Das Entwicklungsteam hat das emSign ECC Root CA – G3-Root-Zertifikat von eMudhra aus der Standard-Zertifikatdatei cert.pem entfernt, da einige niedrigere Zertifizierungsstellen im Zertifikatssystem Schlüssel mit unzureichender Stärke verwendeten. Aus Kompatibilitätsgründen haben die Entwickler auch nicht betroffene Zwischenzertifikate hinzugefügt.
Diese Anpassung betrifft den Zertifikatvertrauensmechanismus in HTTPS-Verbindungen. Browser, Betriebssysteme und Verschlüsselungssoftware verwenden in der Regel vertrauenswürdige Stammzertifikate, um festzustellen, ob ein Website-Zertifikat von einer vertrauenswürdigen Organisation ausgestellt wurde. Wenn ein Zertifikatsystem Sicherheitsprobleme wie eine unzureichende Schlüsselstärke aufweist, können Angreifer die Schwachstellen ausnutzen, um zu versuchen, Zertifikate zu fälschen oder einige Vertrauensprüfungen zu umgehen. Daher kann das Entfernen riskanter Stammzertifikate dazu beitragen, die damit verbundenen Sicherheitsrisiken zu verringern.
Das Entwicklungsteam weist Sie ausdrücklich darauf hin, dass Sie beim Upgrade die lokale Zertifikatsdatei überprüfen müssen. Da vorhandene cert.pem-, openssl.cnf- und x509v3.cnf-Dateien bei der Neuinstallation von LibreSSL nicht mehr automatisch überschrieben werden, müssen Benutzer möglicherweise Zertifikatänderungen manuell überprüfen und zusammenführen, wenn der Paketmanager die Konfigurationszusammenführung nicht automatisch übernimmt. Das Entwicklungsteam empfiehlt, zu bestätigen, dass der Stammzertifikateintrag „CN=emSign ECC Root CA – G3“ nicht mehr in cert.pem enthalten ist.
Im Hinblick auf die Leistung verbessert LibreSSL 4.4.0 die Implementierung des SHA-3-Algorithmus und übernimmt Optimierungsmethoden wie ungerollte Schleifen und verschachtelte Verarbeitung, um die Ausführungseffizienz verwandter Berechnungen zu verbessern. SHA-3 ist ein kryptografischer Hash-Algorithmus, der zur Überprüfung der Datenintegrität, für digitale Signaturen und andere Sicherheitsprotokolle verwendet werden kann. Diese Verbesserung zielt hauptsächlich auf die Algorithmusimplementierung selbst ab. Die tatsächliche Leistungsverbesserung wird von der Prozessorarchitektur, dem Compiler und der spezifischen Arbeitslast beeinflusst.
Die neue Version verbessert außerdem die Kompilierung und Laufzeitkompatibilität auf mehreren Plattformen. Auf der macOS-Seite wurde das Problem mit der Netzwerkfunktion netcat (nc) behoben und Build-Unterstützung für macOS 27.0 hinzugefügt. In der Windows-Umgebung hat das Entwicklungsteam einige Probleme unter dem MSVC-Compiler behoben, darunter den ARM64-Optimierer, der Fehlercodes in zeitkonstanten großen Ganzzahl-Arithmetikcodes generiert, und außerdem die Netzwerkverbindungen, das Lesen und Schreiben von Dateien sowie die Thread-Synchronisierung in der Windows-Kompatibilitätsebene verbessert.
Für Linux und andere Unix-ähnliche Systeme verbessert die neue Version die SHA-Assembly-Unterstützung auf der AArch64-Plattform und fügt Assembly-Implementierungskonfigurationen für RISC-V, MIPS und andere Architekturen hinzu oder verbessert sie. Darüber hinaus verwendet das CMake-Build-System jetzt Compiler- und Linker-Sicherheitsminderungsoptionen im Einklang mit der Autotools-Build-Methode, wodurch die von verschiedenen Build-Prozessen generierte Software im Hinblick auf die Sicherheitshärtung konsistenter wird.
LibreSSL 4.4.0 enthält außerdem eine Reihe von Korrekturen in Bezug auf die Implementierung des TLS- und DTLS-Protokolls. Das Entwicklungsteam verbesserte die Verarbeitungslogik des TLS 1.3-Servers, wenn beide Parteien nicht über eine gegenseitig unterstützte kryptografische Gruppe verfügen, und korrigierte einige Probleme im Handshake-Prozess. Zu den DTLS-bezogenen Verbesserungen gehören die Verarbeitung von Handshake-Nachrichten, die Aufzeichnung von Sequenznummern und Datenwarteschlangen mit dem Ziel, die Verbindungszuverlässigkeit und die Konsistenz der Protokollverarbeitung zu verbessern.
Die Überprüfung des X.509-Zertifikats ist ein weiterer wichtiger Aktualisierungsbereich. Die neue Version behebt Probleme mit der Auflösung von URI-Hostnamen in Einschränkungen für Zertifikatnamen, einschließlich der korrekten Verarbeitung von IPv6-Adressliteralen und der Verhinderung, dass speziell erstellte Benutzerinformationen die Hostnamenprüfungen umgehen. Darüber hinaus verbesserte das Entwicklungsteam auch die Logik wie die Überprüfung der Zertifikatskette, die Überprüfung von E-Mail-Adressen und Betreffnamen, um Sicherheitsrisiken im Prozess der Zertifikatsanalyse und -überprüfung weiter zu reduzieren.
LibreSSL 4.4.0 behebt außerdem mehrere Fehler, die zu Speichersicherheitsproblemen führen können, darunter Schreibvorgänge außerhalb der Grenzen, Lesevorgänge außerhalb der Grenzen, Nullzeigerzugriffe und falsche Speicherfreigabe in einigen Puffern. Das Entwicklungsteam hat außerdem den Fehlerbehandlungsmechanismus einiger Verschlüsselungsvorgänge angepasst, um zu verhindern, dass das Programm nach einem Fehler weiterhin Daten verwendet, die nicht ordnungsgemäß initialisiert wurden.
Im Hinblick auf die Kompatibilität passt die neue Version die TLS 1.3-bevorzugte Schlüsselaustauschgruppe in libtls an X25519MLKEM768 an. Die Kombination kombiniert den traditionellen Elliptic-Curve-Key-Austausch X25519 mit dem Post-Quantum-Key-Kapselungsmechanismus ML-KEM und zielt darauf ab, zukunftssichere Quantensicherheitsfunktionen für TLS-Verbindungen bereitzustellen. Dies bedeutet nicht, dass alle Anwendungen, die LibreSSL verwenden, automatisch dieselbe Konfiguration aktivieren. Das spezifische Verhalten hängt weiterhin davon ab, wie die Anwendung libtls aufruft und welche Verbindungseinstellungen sie hat.
Darüber hinaus hat das Entwicklungsteam eine Zertifikatskettenschnittstelle mit dem irreführenden Namen tls_peer_cert_chain_pem() abgelehnt und empfohlen, dass Entwickler stattdessen Schnittstellen wie tls_peer_cert_chain_verified_pem() oder tls_peer_cert_bundle_unverified_pem() verwenden, um klarer zwischen verifizierten und nicht verifizierten Zertifikatskettendaten zu unterscheiden. Das Projekt bereinigt außerdem weiterhin alten Code und entfernt Protokollverarbeitungslogik und veraltete Schnittstellen, die nicht mehr benötigt werden.
Das LibreSSL-Projekt gab an, dass die neue Version das Ziel fortsetzt, die Sicherheit, Zuverlässigkeit und Portabilität des Codes kontinuierlich zu verbessern, und begrüßt die Community, weiterhin Feedback und Verbesserungsvorschläge einzureichen. Für Systembetreuer und Softwareentwickler ist 4.4.0 nicht nur ein reguläres Versions-Upgrade, sondern enthält auch Änderungen an der Zertifikatsvertrauenswürdigkeit und Sicherheitskorrekturen, die Aufmerksamkeit erfordern.
Im Allgemeinen liegt der Fokus von LibreSSL 4.4.0 nicht auf der Einführung eines neuen Verschlüsselungsalgorithmus, sondern auf der weiteren Stärkung der bestehenden Verschlüsselungsinfrastruktur, der Optimierung der Leistung häufig verwendeter Algorithmen und der Verbesserung der Kompatibilität auf verschiedenen Betriebssystemen und Prozessorarchitekturen. Bei Softwareprojekten, die auf LibreSSL angewiesen sind, um TLS-Verbindungen herzustellen, Zertifikate zu überprüfen oder verschlüsselte Daten zu verarbeiten, sollten Sie vor dem Upgrade die Schnittstellenkompatibilität und die Konfiguration lokaler Zertifikate überprüfen und Tests und Bereitstellung entsprechend Ihrer eigenen Umgebung arrangieren.
Kommentare