OpenSSL

Po řadě vývojových verzí je na světě finální vydání OpenSSL 3.0, všeobecně používané SSL knihovny. Oproti verzi 1.1 přináší velké možnosti v rozšiřitelnosti, vyčištění kódu projektu zejména od zastaralých věcí a také rozličná vylepšení…

Včera vyšlo OpenSSL 3.0 beta. Jde o zásadní přepsání stávající stabilní verze 1.1 se spoustou nových funkcí. Mezi novinky patří větší flexibilita, kompletní implementace CMP (Certificate Management Protocol), nové API a podpora pro TLS v linuxovém…

Včera byly oznámeny dvě kritické chyby v OpenSSL. První z nich CVE-2021–3449 umožňuje upravenou zprávou ClientHello při TLS 1.2 renegotiation shodit server. Všechny verze OpenSSL 1.1.1 jsou zranitelné, je potřeba aktualizovat na 1.1.1k. OpenSSL…

Výzkumníci z Německa a Izraele našli zranitelnost výměny klíčů Diffie-Hellman (DH) v TLS do verze 1.2 včetně. Zranitelnost má název Raccoon attack (útok mývala). TLS 1.3 zranitelná není. Útočník může rozšifrovat TLS komunikaci, ale útok je celkem…

Nedávno OpenZFS nahradilo urážlivý výraz „slave“ pomocí „dependents“. Nyní se připojil GitHub, kde výchozí větev kódu již nebude „master“, ale „main“. Podobně Google v prohlížeči Chromium a Chrome mění „blacklist“ a „whitelist“ na „blocklist“ a…

Vývojáři OpenSSL oznámili, že změní značení verzí své knihovny, které je příliš unikátní a mate uživatele. Současný formát používá čtyři pole: MAJOR.MINOR.FIX[PATCH] (například 1.1.0j), nová varianta si vystačí s klasickým MAJOR.MINOR.PATCH a…

Včerejší aktualizace OpenSSL na verzi 1.0.2k-3 v Arch Linuxu „rozbíjí“ spoustu her od Feral Interactive a také Civilization VI. Problém je vhodné vyřešit instalací balíčku libopenssl-1.0-compat a použitím  LD_LIBRARY_PATH=/usr/lib/openssl-1.0-compat/ %command%. (zdroj: gamingonlinux)

Už několik let se hovoří o tom, že by knihovna OpenSSL měla přejít na jinou licenci. V současnosti totiž používá licenci vlastní, která je někdy trochu nejasná a může bránit integraci knihovny do dalších projektů. Zvolena byla permisivní Apache…

Jak bylo slíbeno, dnes byly zveřejněny tři zranitelnosti OpenSSL a jejich opravy. Kritická zranitelnost CVE-2016–7054 se týká TLS se šifrou CHACHA20-POLY1305, kdy speciálně upravený vstup může shodit OpenSSL. Chybu je možné použít pouze k DoS,…

Vývojáři OpenSSL oznámili, že zítra mezi 13. a 17. hodinou středoevropského času vydají novou verzi 1.1.0c, která bude opravovat několik závažných bezpečnostních chyb. Nejvážnější z nich byla označena jako „vysoce kritická“ a netýká se žádné verze…

Knihovna OpenSSL byla povýšena na verzi 1.1.0 b. Důvodem je oprava závažné bezpečnostní chyby CVE-2016–6309, která naštěstí byla zanesena teprve před několika dny s verzí 1.1.0 a. Chybu nalezl hned den po vydání Robert Święcki z Googlu, o záplatu…

V knihovně OpenSSL, resp. přímo v SSLv2, byla nalezena další nepříjemná zranitelnost přezdívaná DROWN, která umožňuje provedení man-in-the-middle útoku na šifrovanou komunikaci. Konkurenční projekt LibreSSL, který z OpenSSL vychází, se v té…

Dnes byla odhalena nová zranitelnost SSLv2 DROWN (Decrypting RSA using Obsolete and Weakened eNcryption). Jde o útok typu man-in-the-middle na TLS šifrovanou komunikaci a dostal označení CVE-2016–0800. V typickém scénáři útočník odposlechne tisíc…

Právě vyšlo opravené OpenSSL 1.0.2f a 1.0.1r, která opravují dvě chyby CVE-2016–0701 (vysoká závažnost) a CVE-2015–3197 (nízká závažnost). Chyba CVE-2016–0701 s vysokou závažností se týká jen verze 1.0.2, kde byl změněn způsob generování DH…

Nizozemské ministerstvo spravedlnosti a bezpečnosti vydalo dokument, ve kterém vysvětluje svůj přístup k šifrování. „Vláda věří, že v současné době není vhodné legislativně omezovat rozvoj a dostupnost šifrování v zemi,“ zní nejdůležitější část…

Rich Salz zveřejnil informace o změně licence OpenSSL. Projekt chce opustit současnou „unikátní a svéráznou“ licenci a přejít na standardní text licence Apache 2.0. Stát by se tak mělo už v příštím vydání, ale bude to vyžadovat souhlas téměř všech…

V reakci na zranitelnost Heartbleed pod křídly Linux Foundation vznikla Core Infrastructure Initiative, jejímž cílem je finančně podporovat open-source projekty, které jsou zásadní pro bezpečnost celého internetu. Mnoho velkých firem přispělo a…

Dle plánu vydal vývojový tým OpenSSL dvě nové verze kryptografické knihovny OpenSSL. Konkrétně se jedná o verze 1.0.2d a 1.0.1p. Řeší pouze jednu bezpečnostní chybu s označením CVE-2015–1793, která je klasifikována jako „vysoce kritická“. Větve…

S novými implementacemi protokolu SSL / TLS se roztrhl pytel po objevení kritické zranitelnosti Heartbleed v knihovně OpenSSL, nejpoužívanější open source implementaci.  Asi nejznámější fork je od vývojářů unixového systému OpenBSD, LibreSSL. Zde…

Vývojový tým OpenSSL na mailing listu uveřejnil informaci, že plánuje uvedení nových verzí kryptografické knihovny OpenSSL. Konkrétně se má jednat o verze 1.0.2d a 1.0.1p. Řešit mají pouze jednu bezpečnostní chybu klasifikovanou jako „vysoce…