← Все новости

Разработка ·

Вышел OpenSSL 4.1: DTLS 1.3, GREASE и ускорение постквантовой криптографииOpenSSL 4.1 released: DTLS 1.3, GREASE and faster post-quantum crypto

Новая feature-версия OpenSSL наконец поддерживает DTLS 1.3 и GREASE, ускоряет ML-KEM и ML-DSA и добавляет AVX-512-оптимизации. Удалены сборки под Windows CE и Windows на Itanium, а также опции no-ecdsa и no-ecdh.The new OpenSSL feature release finally supports DTLS 1.3 and GREASE, speeds up ML-KEM and ML-DSA and adds AVX-512 optimizations. Windows CE and Windows-on-Itanium targets and the no-ecdsa/no-ecdh options are gone.

23 октября вышла стабильная версия OpenSSL 4.1 — после альфы 9 сентября и беты 2 от 9 октября.

Что нового

  • DTLS 1.3 (RFC 9147) — главное нововведение. DTLS используется в WebRTC, VPN и IoT, и поддержка 1.3 в OpenSSL давно ожидалась. DTLS также появился в API SSL listener.
  • GREASE (RFC 8701) — случайные «мусорные» значения в handshake, которые не дают реализациям TLS закостенеть на фиксированном наборе расширений.
  • Производительность: ускорены постквантовые ML-KEM и ML-DSA на нескольких архитектурах, добавлены оптимизации AVX-512 и VAES для расшифровки AES-CBC на x86-64.
  • Поддержка KDF для IKEv2 и начальная поддержка архитектуры Elbrus 2000.

Ломающие изменения

  • Удалены цели сборки Windows CE и Windows на Itanium.
  • Удалены опции no-ecdsa и no-ecdh — для отключения эллиптических кривых используйте no-ec.
  • Утилита tsget переехала с WWW::Curl::Easy на Net::Curl::Easy.

На что обратить внимание

Команда OpenSSL задокументировала четыре известные проблемы, связанные с DTLS, — исправления запланированы в следующих релизах. Если вы планируете переводить продакшен-трафик на DTLS 1.3, стоит сначала прочитать release notes и подождать патч-версий. Для обычного TLS-трафика обновление в первую очередь даёт прирост скорости — особенно заметный для постквантового обмена ключами, который всё чаще включён по умолчанию.

The stable OpenSSL 4.1 release landed on Oct 23, following an alpha on Sept 9 and beta 2 on Oct 9.

What’s new

  • DTLS 1.3 (RFC 9147) is the headline feature. DTLS is used in WebRTC, VPNs and IoT, and 1.3 support in OpenSSL was long awaited. DTLS also comes to the SSL listener API.
  • GREASE (RFC 8701) — random “junk” values in the handshake that keep TLS implementations from ossifying around a fixed set of extensions.
  • Performance: faster post-quantum ML-KEM and ML-DSA on several architectures, plus AVX-512 and VAES optimizations for AES-CBC decryption on x86-64.
  • IKEv2 KDF support and initial support for the Elbrus 2000 architecture.

Breaking changes

  • Windows CE and Windows-on-Itanium build targets are removed.
  • The no-ecdsa and no-ecdh options are removed — use no-ec to disable elliptic curves.
  • The tsget utility moved from WWW::Curl::Easy to Net::Curl::Easy.

Worth noting

The OpenSSL team documented four known DTLS-related issues, with fixes planned for future releases. If you plan to move production traffic to DTLS 1.3, read the release notes first and wait for patch releases. For ordinary TLS traffic the upgrade mainly brings speed — especially noticeable for post-quantum key exchange, which is increasingly on by default.

Источники