OpenSSL, ett av världens mest använda bibliotek för krypterad kommunikation på internet, närmar sig en ny stor version. Den första alfautgåvan av OpenSSL 4.0 visar en rad tekniska nyheter – från förbättrat integritetsskydd i TLS till stöd för postkvantkryptografi – och markerar ett viktigt steg i utvecklingen av framtidens säkra nätverk.

Den kommande versionen av OpenSSL, en av världens mest använda programvaror för säker kommunikation på nätet, har nu nått ett första publikt alfa-steg. Det innebär att utvecklare och testare kan börja prova de nya funktionerna, även om versionen ännu inte är redo för skarp drift. Bakom den tidiga testutgåvan döljer sig flera förändringar som pekar mot en framtid där både integritet, kompatibilitet och motståndskraft mot nya typer av hot blir allt viktigare.

Ett viktigt verktyg för säker kommunikation

OpenSSL är ett öppet och fritt programbibliotek som används för att skydda data när den skickas mellan datorer, servrar, appar och webbplatser. Det är en central byggsten i många säkerhetslösningar på internet, inte minst för krypterade anslutningar via TLS, alltså tekniken som bland annat gör att webbadresser kan börja med HTTPS.

När OpenSSL får en större uppdatering påverkar det därför inte bara utvecklare, utan i förlängningen också hela den digitala infrastrukturen.

Krypterad information redan innan anslutningen är upprättad

En av de mest uppmärksammade nyheterna i OpenSSL 4.0 är stöd för Encrypted Client Hello, ofta förkortat ECH. Den tekniken är framtagen för att förbättra integriteten i det allra första steget när en krypterad anslutning etableras mellan en användare och en server.

Normalt har vissa delar av den inledande anslutningen varit synliga för utomstående, även om själva trafiken senare blir krypterad. Med ECH skyddas mer av denna information från insyn. Det betyder att det blir svårare för exempelvis nätoperatörer, övervakningssystem eller angripare att se exakt vilken tjänst eller webbplats en användare försöker nå.

Det här är en utveckling som passar väl in i internets långsiktiga rörelse mot starkare integritetsskydd.

Förberedelser för en postkvantframtid

OpenSSL 4.0 innehåller också flera nyheter som knyter an till det som ofta kallas postkvantkryptografi. Det handlar om kryptografiska metoder som är utformade för att stå emot framtida attacker från kvantdatorer, som i teorin skulle kunna hota vissa av dagens vanliga krypteringsmetoder.

Bland nyheterna finns stöd för hybridlösningar och nya nyckelutbytesgrupper, där klassisk kryptografi kombineras med modernare tekniker. Tanken med sådana hybrider är att få det bästa från två världar: kompatibilitet med dagens system och bättre motståndskraft mot framtida hot.

Även om kvantdatorer ännu inte har slagit ut dagens internetkryptering i praktiken, visar OpenSSL 4.0 att förberedelserna redan är i gång på allvar.

Nya funktioner för nyckelhantering och specialprotokoll

Den nya versionen lägger också till stöd för flera så kallade nyckelavledningsfunktioner, bland annat för SNMP och SRTP. Sådana funktioner används för att skapa kryptografiska nycklar på ett säkert sätt utifrån annan information.

Det kan låta tekniskt, men i praktiken handlar det om att ge bättre stöd för system som behöver skyddad nätverkshantering eller säker realtidskommunikation, till exempel ljud- och videoströmmar. Det gör OpenSSL mer användbart i fler typer av miljöer, inte bara i vanliga webbservrar.

Strängare kontroll av certifikat

Säkerhet handlar inte bara om att kryptera data, utan också om att verifiera att en server verkligen är den den utger sig för att vara. Därför är de förbättrade kontrollerna av certifikat en viktig del av OpenSSL 4.0.

Bland annat införs ytterligare verifiering kopplad till AKID när strikt X.509-kontroll används. Dessutom förbättras kontrollen av spärrlistor för certifikat, så kallade CRL-kontroller. För den som driver system där hög tillit är avgörande kan sådana skärpningar minska risken att felaktiga eller tveksamma certifikat godtas.

Det här är inte en förändring som vanliga användare direkt märker, men den kan få stor betydelse för den underliggande säkerheten.

FIPS och säkerhetskrav i känsliga miljöer

OpenSSL 4.0 förbättrar även stödet för FIPS-relaterade självtester. FIPS är ett ramverk med säkerhetskrav som ofta används i myndighetsmiljöer, reglerade verksamheter och andra sammanhang där certifierad kryptografi är viktig.

Den nya versionen gör det möjligt att skjuta upp vissa självtester vid installation av FIPS-modulen. Det kan ge större flexibilitet i hur system installeras och tas i drift, särskilt i mer kontrollerade IT-miljöer.

Gamla delar försvinner när biblioteket moderniseras

Som en del av övergången till en ny huvudversion rensas också en del äldre teknik bort. OpenSSL 4.0 slutar stödja vissa äldre macOS-relaterade plattformsmål, stänger av stöd för föråldrade elliptiska kurvor i TLS som standard vid kompilering och gör vissa interna datatyper mer inkapslade.

Detta är typiskt för större uppdateringar i mogen systemprogramvara. Gamla lösningar måste till slut fasas ut för att göra plats för bättre säkerhet, enklare underhåll och tydligare gränssnitt för utvecklare.

Ändringar som påverkar utvecklare direkt

Utöver nya funktioner och skärpt säkerhet innehåller OpenSSL 4.0 även förändringar i själva API:et, alltså de funktioner som programmerare använder för att bygga in OpenSSL i sina program. Många funktionssignaturer ändras för att använda const-kvalificering där det passar bättre, vilket kan göra koden tydligare och säkrare.

Samtidigt fasas vissa äldre funktioner ut. Exempelvis ersätts flera tidsrelaterade X.509-funktioner av en nyare funktion för certifikatstidskontroll. För utvecklare betyder detta att en framtida migrering kan krävas, särskilt i projekt som bygger på äldre OpenSSL-kod.

Inte för produktion ännu

Det är viktigt att komma ihåg att den första alpha-utgåvan av OpenSSL 4.0 fortfarande är en förhandsversion. Den är avsedd för testning, felsökning och utvärdering, inte för produktionsmiljöer. Men redan nu ger den en tydlig bild av vart projektet är på väg.

Det handlar om starkare integritet, bättre stöd för nya kryptografiska standarder, modernisering av gamla delar och förberedelser inför en tid då hotbilden förändras snabbt. OpenSSL 4.0 ser därför ut att bli mer än bara en vanlig versionsuppdatering. Det kan bli ett viktigt steg i utvecklingen av internets säkerhetsinfrastruktur.

Sammanfattning

Med OpenSSL 4.0 visar projektet att modern kryptografi inte bara handlar om att skydda data här och nu, utan också om att bygga för framtiden. Stöd för ECH förbättrar integriteten, nya kryptografiska funktioner breddar användningsområdena och postkvantrelaterade tillägg visar att utvecklingen redan anpassas till morgondagens hot.

För slutanvändare märks sådana förändringar sällan direkt. Men i bakgrunden är de avgörande. När grunden för säker kommunikation stärks, påverkar det i förlängningen allt från webbsurfning och molntjänster till myndighetssystem och företagsnätverk.

https://github.com/openssl/openssl/releases/tag/openssl-4.0.0-alpha1