14.5 KB · ⇊ 4 parts · ⤓ Micron 14.5 KB · ⤓ HTML 30.7 KB

top

mwbqOpenSSL è un'mwbgimplementazione mwbwmwcaopen source dei protocolli mwcqSSL e mwcgTLS.

Basato, in origine, sulle librerie mwdaSSLeay di Eric Young e Tim Hudson, è disponibile per la maggior parte dei mwdqsistemi operativi mwdgmwdwunix-like, tra cui mweaGNU/Linux e mweqmacOS, ma anche per mwegMicrosoft Windows.

• Caratteristiche

• Algoritmi implementati

• Conformità allo standard FIPS

• Licenza

• Bug

• Debian

• Il bug Heartbleed

• Cronologia principali versioni pubblicate

• Alternative

• Note

• Voci correlate

• Altri progetti

• Collegamenti esterni

Nei diversi mwfglinguaggi di programmazione sono disponibili procedure che permettono di accedere alle funzioni della libreria OpenSSL. Le librerie di base (scritte in mwfwlinguaggio C) eseguono le funzioni mwgacrittografiche principali.

Supporta diversi algoritmi crittografici:

• mwhqCifrari: mwhgBlowfish, mwhwCamellia, mwiaCAST, mwiqDES, mwigRC2, mwiwRC4, mwjaRC5, mwjqIDEA, mwjgAES

• mwkqFunzioni hash crittografiche: mwkgMD5, mwkwMD2, mwlaSHA, mwlqMDC-2

• mwmaCrittografia a chiave pubblica: mwmqRSA, mwmgDSA, mwmwScambio di chiavi Diffie-Hellman

• mwngFunzioni di Autenticazione dei messaggi: mwnwHMAC, mwoaMD2, mwoqMD4, mwogMD5, mwowMDC2, mwpaRIPEMD, mwpqSHA

• mwqaCertificati: mwqqX.509

Negli mwraUSA l'mwrqmwrgOpen Source Software Institute, un'organizzazione senza fini di lucro formata da rappresentanti del governo, dell'industria e del mondo accademico allo scopo di promuovere l'adozione dei programmi mwrwopen source nelle università e negli enti governativi, sta tentando di far ottenere a OpenSSL la conformità mwsaFIPS 140-2 (mwsqmwsgFederal Information Processing Standard FIPS Publication 140-2), uno standard per la mwswsicurezza informatica usato per certificare i programmi mwtacrittografici.

OpenSSL utilizza un sistema mwtwdual-license (doppia mwualicenza), la mwuqOpenSSL License e la mwugSSleay License. Normalmente in un sistema a doppia licenza è possibile scegliere quale delle due licenze adottare; nel caso della OpenSSL occorre seguire entrambe. La licenza risultante è simile a quella di mwuwApache.

La licenza richiede che la frase mwvq"This product includes software developed by the OpenSSL Project for use in the OpenSSL Toolkit" appaia come clausola pubblicitaria, che la rendono incompatibile con la licenza mwvgGPL. Non è ben chiaro se la OpenSSL rientri nella eccezione della GPL riguardo alle librerie di sistema. Alcuni autori preferiscono inserire una esplicita mwvwGPL linking exception per permettere l'utilizzo della OpenSSL nel loro software. Altri hanno preferito sostituirla con la mwwaGnuTLS.

Il 13 maggio 2008 è stato scoperto un grave problema di sicurezza nel pacchetto mwxaOpenSSL di mwxqDebian mwxgGNU/Linux. La versione implementata in mwxwDebian, mwyaUbuntu e altre distribuzioni derivate generava infatti chiavi vulnerabili. Una correzione risalente al settembre 2006, infatti, aveva eliminato il codice che utilizzava parti della memoria non inizializzate per aumentare l'mwyqentropia del generatore di chiavi, utilizzando come valore variabile solo il numero del processo. Questa modifica aveva ridotto il numero di chiavi generabili da 2mwyg1024 o 2mwyw2048 a solo 2mwza15, quindi ad appena 32768 valori possibili.

Questo bug è stato rapidamente corretto ma tutte le chiavi generate su sistemi Debian e derivati nel frattempo andrebbero rigenerate.

Il mwbqbug, scoperto nella versione 1.0.1f da un gruppo di ricercatori del team Codenomicon, permette a un malintenzionato di accedere in chiaro a tutti i dati criptati inviati dall'utente, senza lasciare alcuna traccia. La mwbwNational Security Agency statunitense, secondo le rivelazioni di mwcaEdward Snowden, sarebbe stata a conoscenza già due anni prima del pericoloso difetto del programma, tacendo al riguardo.cite-ref-1[1]

Nel 2014 è stato valutato che oltre il 66% dei siti Web sia vulnerabile all'attacco.cite-ref-2[2]cite-ref-3[3]

• OpenSSL 0.9.3, pubblicata il 25 maggio 1999

• OpenSSL 0.9.4, pubblicata il 9 agosto 1999

• OpenSSL 0.9.5, pubblicata il 28 febbraio 2000

• OpenSSL 0.9.6, pubblicata il 25 settembre 2000

• OpenSSL 0.9.7, pubblicata il 31 dicembre 2002

• OpenSSL 0.9.8, pubblicata il 5 luglio 2005

• OpenSSL 1.0.0 pubblicata il 29 marzo 2010

• OpenSSL 1.0.1, pubblicata il 14 marzo 2012

• OpenSSL 1.0.1g, pubblicata il 11 aprile 2014

• OpenSSL 1.0.1t pubblicata il 3 maggio 2016

• OpenSSL 1.0.2t, pubblicata il 10 settembre 2019

• OpenSSL 1.1.0l pubblicata il 10 settembre 2019

• OpenSSL 1.1.1j, pubblicata il 16 febbraio 2021

• OpenSSL 1.1.1m pubblicata il 14 dicembre 2021

• mwkqGnuTLS della mwkgFree Software Foundation è una libreria analoga che svolge le stesse funzioni, ma compatibile con la licenza mwkwGNU Lesser General Public License.

cite-note-11. ↑ mwmgmwmwHeartbleed: la falla era sfruttata dalla NSA di Giacomo Dotta da webnews.it 12 aprile 2014

cite-note-22. ↑ mwnwmwoamwoqInternet, falla in OpenSSL: 'Heartbleed' mette a rischio password e carte di credito in due terzi dei siti web, in mwogLa Repubblica, 9 aprile 2014. mwowURL consultato il 10 aprile 2014.

cite-note-33. ↑ mwpwmwqaOpenSSL: la madre di tutte le vulnerabilità di Giacomo Dotta da webnews.it, 9 aprile 2014

• mwraProtocollo di rete

• mwrgTransport Layer Security

Altri progetti

• Wikimedia Commons

• Wikimedia Commons contiene immagini o altri file su OpenSSL

• (EN) Sito ufficiale, su openssl-library.org.

• OpenSSL / OpenSSL (altra versione) / OpenSSL (altra versione) / OpenSSL (altra versione), su packages.debian.org.

• citerefgithub(EN) OpenSSL, su GitHub.

• Repository sorgenti di OpenSSL, su github.com.

• Sito di segnalazione bug, su github.com.

• citereffree-software-directory(EN) OpenSSL, su Free Software Directory.

• mwtq(EN) GnuTLS, su gnu.org.

• mwtwIntroduzione ed esempi (codice sorgente C) per gli algoritmi: DES, Blowfish, Idea, MD5, su ardoino.com. URL consultato il 21 febbraio 2008 (archiviato dall'url originale il 16 ottobre 2008).

• mwuqIntroduzione ed esempi (codice sorgente C) per l'algoritmo: RSA, su ardoino.com. URL consultato il 21 febbraio 2008 (archiviato dall'url originale il 29 agosto 2008).

• mwuw(EN) Debian Security Advisory del bug nel pacchetto openssl, su debian.org.

• mwvqGuida alle connessioni tunnel con SSH (forwarding), su compago.it. URL consultato il 10 settembre 2008 (archiviato dall'url originale il 25 settembre 2008).

• mwvw(EN) The Heartbleed Bug, su heartbleed.com.