Выпущены OpenSSL 4.1.0 и LibreSSL 4.4.0

Состоялся релиз криптографической библиотеки OpenSSL 4.1.0, предоставляющей реализацию протоколов TLS и различных алгоритмов шифрования. Одновременно опубликован выпуск LibreSSL 4.4.0. Для организаций, использующих эти библиотеки в составе серверной инфраструктуры, прикладного ПО и сетевых сервисов, выход новых версий означает необходимость планирования обновления и оценки сроков поддержки используемых веток.

Подробности

OpenSSL 4.1 отнесён к выпускам с обычным сроком поддержки: обновления для данной ветки будут выпускаться в течение 13 месяцев. Это отличает её от LTS-веток, поддержка которых растянута на годы. В частности, поддержка LTS-ветки OpenSSL 3.5 продлится до апреля 2030 года. Код проекта распространяется под лицензией Apache 2.0. Таким образом, ветка 4.1 подходит для тех, кто готов регулярно переходить на новые значимые выпуски, тогда как для долгосрочных проектов, где важна предсказуемость цикла обновлений, разумнее ориентироваться на LTS-ветку 3.5. Одновременно с OpenSSL 4.1.0 выпущена библиотека LibreSSL 4.4.0 — альтернативная реализация TLS, развиваемая как форк OpenSSL.

Что делать

Разработчикам и администраторам рекомендуется оценить, какие ветки OpenSSL используются в продуктивной инфраструктуре, и спланировать переход на актуальные версии с учётом заявленных сроков поддержки. Проектам с длительным жизненным циклом стоит заложить в план миграцию на LTS-ветку 3.5, поддержка которой продлится до апреля 2030 года, либо заранее предусмотреть регулярное обновление в рамках короткого цикла ветки 4.1. Перед обновлением необходимо провести проверку совместимости зависимого ПО и протестировать изменения в тестовой среде. Тем, кто использует LibreSSL, следует рассмотреть переход на версию 4.4.0. Итог: выход OpenSSL 4.1.0 и LibreSSL 4.4.0 требует от команд внимательного отношения к выбору ветки и срокам поддержки — ошибка в этом решении может обернуться работой на неподдерживаемой версии криптографической библиотеки.

Источник: opennet