19.3 KB · ⇊ 12 parts · ⤓ Micron 19.3 KB · ⤓ HTML 48.4 KB

top

OpenSSL est une boîte à outils de chiffrement comportant deux bibliothèques, libcrypto et libssl, fournissant respectivement une implémentation des algorithmes cryptographiques et du protocole de communication SSL/TLS, ainsi qu'une interface en ligne de commande, openssl.

Développée en C, OpenSSL est disponible sur les principaux systèmes d'exploitation et dispose de nombreux wrappers ce qui la rend utilisable dans une grande variété de langages informatiques. En 2014, deux tiers des sites Web l'utilisaientcite-ref-2[2].

• Histoire

• Versions

• Abandon pour LibreSSL puis réadoption

• Algorithmes

• Notes et références

• Annexes

• Bibliographie

• Articles connexes

• Liens externes

Basé sur la bibliothèque SSLeay de Eric A. Young et Tim J. Hudsoncite-ref-3[3], le projet voit le jour en 1998 dans le but de mettre à la disposition de tous les outils libres pour le chiffrement.

Bien que massivement utilisée, la bibliothèque est peu médiatisée en dehors de la communauté informatique. Cela change en avril 2014 à la suite de la révélation d'une vulnérabilité majeure, Heartbleed qui permet de récupérer le contenu de la mémoire du serveur sans laisser aucune trace numériquecite-ref-4[4]cite-ref-5[5]. Du fait de sa très grande utilisation, de nombreux sites internet grand public, entre autres Wikipédia, Google, Dropbox, Yahoo! et Flickr, sont affectés et recommandent à leurs utilisateurs de ne pas se connecter pendant les quelques jours nécessaires à effectuer les mises à jour puis de changer leurs mots de passecite-ref-6[6]cite-ref-7[7].

Heartbleed a mis en avant le manque de moyens d'OpenSSL et de nombreux logiciels libres essentiels au bon fonctionnement d'internet et des systèmes de communication. Cette constatation a mené à la création de la Core Infrastructure Initiative soutenue par des entreprises majeures du secteur informatique telles que Google, Microsoft, Facebook ou encore Amazon Web Servicescite-ref-8[8].

De nouvelles failles, de moindres importances que Heartbleed, sont rendues publiques en juin de la même année. Les annonces et l'importance de ces failles ont permis de révéler plusieurs problèmes dans la qualité du code.

Ces problèmes ont poussé des développeurs du projet OpenBSD à forker OpenSSL en LibreSSLcite-ref-9[9]. Quelques mois plus tard, Google annonce avoir également créé son propre fork, mais pour des raisons de facilité de maintenance car elle l'utilise dans ses projets Chrome et Androidcite-ref-10[10]cite-ref-11[11].

Le 19 janvier 2017 il a été annoncé que Akamai apporte un soutien financier à la fondation OpenSSL pour accélérer le développement de la version 1.1.1 qui sera la première à inclure la possibilité d’utiliser TLS 1.3cite-ref-12[12]. OpenSSL 1.1.1 devait être initialement disponible début avril 2017 mais les spécifications de TLS 1.3 n’étant pas finalisées sa sortie est différée. Une première version beta est finalement apparue le 13 février 2018 et le 11 septembre 2018 la release de la version 1.1.1 LTS (Long Term Support) voit enfin le jour avec le support du TLS 1.3.

Le 26 octobre 2022 est annoncé qu’une faille de sécurité critique sur la version 3.0 et son correctif seront publiés le 1er novembre 2022cite-ref-13[13]cite-ref-14[14]. Finalement ce sont deux failles hautes qui sont publiéscite-ref-15[15].

| Version | Date de sortie | Commentaire | Dernière version mineure |

|---|---|---|---|

| 0.9.1 | 23 décembre 1998 | Lancement du projet | 0.9.1c ( 4 mars 1999 ) |

| 0.9.2 | 22 mars 1999 | | 0.9.2b ( 6 avril 1999 ) |

| 0.9.3 | 25 mai 1999 | | 0.9.3a ( 29 mai 1999 ) |

| 0.9.4 | 9 août 1999 | | 0.9.4 ( 9 août 1999 ) |

| 0.9.5 | 28 février 2000 | | 0.9.5a ( 1 er avril 2000 ) |

| 0.9.6 | 24 septembre 2000 | | 0.9.6m ( 17 mars 2004 ) |

| 0.9.7 | 31 décembre 2002 | Support des cartes accélératrices matérielles | 0.9.7m ( 23 février 2007 ) |

| 0.9.8 | 5 juillet 2005 | | 0.9.8zh ( 3 décembre 2015 ) |

| 1.0.0 | 29 mars 2010 | | 1.0.0t ( 3 décembre 2015 ) |

| 1.0.1 | 14 mars 2012 | | 1.0.1u ( 22 septembre 2016 ) |

| 1.0.2 | 24 février 2014 | Consultez le changelog . | 1.0.2t ( 10 septembre 2019 ) |

| 1.1.0 | 25 août 2016 | Consultez le changelog . | 1.1.0l ( 10 septembre 2019 ) |

| 1.1.1 | 11 septembre 2018 | Consultez le changelog . | 1.1.1u ( 30 mai 2023 ) |

| 3.0.0 | 7 septembre 2021 | Consultez le changelog . | 3.0.9 ( 30 mai 2023 ) |

| Ancienne version, non prise en charge Ancienne version, encore prise en charge Version actuelle Version future | Ancienne version, non prise en charge Ancienne version, encore prise en charge Version actuelle Version future | Ancienne version, non prise en charge Ancienne version, encore prise en charge Version actuelle Version future | Ancienne version, non prise en charge Ancienne version, encore prise en charge Version actuelle Version future |

À la suite de la faille Heartbleed, quelques distributions et logiciels remplacent OpenSSL par son fork LibreSSL. Quelques années plus tard, un retour arrière est réalisé pour des raisons de maintenance, de fonctionnalités et par conséquent de sécuritécite-ref-16[16].

| Distribution | support LibreSSL | abandon LibreSSL / réadoption OpenSSL |

|---|---|---|

| Void Linux | 06/08/2014 [ 17 ] | 05/03/2021 [ 18 ] |

| Alpine Linux | | 29/01/2019 [ 19 ] , [ 20 ] |

| Gentoo Linux | 11/07/2014 [ 21 ] | 05/01/2021 [ 22 ] |

| Python | 23/02/2015 [ 23 ] | 27/08/2020 [ 24 ] |

OpenSSL supporte un grand nombre de :

• types de chiffrement :

AES, Blowfish, Camellia, ChaCha20, SEED, CAST-128, DES, IDEA, RC2, RC4, RC5, Triple DES, GOST 28147-89

• fonctions de hachage cryptographique :

MD5, MD4, MD2, SHA-1, SHA-2, RIPEMD-160, MDC-2, GOST R 34.11-94

• types de cryptographie à clé publique :

RSA, DSA, Diffie-Hellman, courbe elliptique, GOST R 34.10-2001

cite-note-wikidata-9640f6b1394dde95d50ce1f88c8e01b258318554-11. « OpenSSL 3.6.0 », 1er octobre 2025 (consulté le 1er octobre 2025)

cite-note-22. ↑ goodin2014dan-goodin2014Dan Goodin, « Critical crypto bug in OpenSSL opens two-thirds of the Web to eavesdropping », sur arstechnica.com, Ars Technica, avril 2014 (consulté le 6 juillet 2014)

cite-note-33. ↑ « About the OpenSSL Project », sur www.openssl.org (consulté le 6 juillet 2014)

cite-note-44. ↑ (en) « The Heartbleed Bug », sur Heartbleed (consulté le 9 avril 2014)

cite-note-55. ↑ 2014(en) « TLS heartbeat read overrun (CVE-2014-0160) », sur Openssl.org, 7 avril 2014 (consulté le 9 avril 2014)

cite-note-66. ↑ whittaker2014zack-whittaker2014(en) Zack Whittaker, « Heartbleed bug affects Yahoo, OKCupid sites; users face losing passwords », sur Znet, 8 avril 2014 (consulté le 9 avril 2014)

cite-note-77. ↑ pagliery2014jose-pagliery2014Jose Pagliery, « Heartbleed bug: passwords to change right now », sur CNNMoney, 10 avril 2014 (consulté le 7 juin 2017)

cite-note-88. ↑ (en) « Amazon Web Services, Cisco, Dell, Facebook, Fujitsu, Google, IBM, Intel, Microsoft, NetApp, Rackspace, VMware and The Linux Foundation Form New Initiative to Support Critical Open Source Projects | The Linux Foundation », sur www.linuxfoundation.org (consulté le 7 juin 2017)

cite-note-99. ↑ seltzer2014larry-seltzer2014Larry Seltzer, « OpenBSD forks, prunes, fixes OpenSSL », sur www.zdnet.com, avril 2014 (consulté le 6 juillet 2014)

cite-note-1010. ↑ langley2014adam-langley2014Adam Langley, « BoringSSL », sur www.imperialviolet.org, juin 2014 (consulté le 6 juillet 2014)

cite-note-1111. ↑ goodin2014dan-goodin2014Dan Goodin, « Google unveils independent “fork” of OpenSSL called “BoringSSL” », sur arstechnica.com, Ars Technica, juin 2014 (consulté le 6 juillet 2014)

cite-note-1212. ↑ marquess2017steve-marquess2017(en) Steve Marquess, « [openssl-announce] Akamai sponsors TLS 1.3 », sur mta.openssl.org, 19 janvier 2017 (consulté le 16 février 2017)

cite-note-1313. ↑ 2022(en) « OpenSSL to fix the second critical flaw ever », sur Sucerity Affairs, 26 octobre 2022 (consulté le 28 octobre 2022)

cite-note-1414. ↑ vijayan2022jai-vijayan2022(en) Jai Vijayan, « Prepare Now for Critical Flaw in OpenSSL, Security Experts Warn », sur Darkreading, 27 octobre 2022 (consulté le 28 octobre 2022)

cite-note-1515. ↑ « CVE-2022-3786 and CVE-2022-3602: X.509 Email Address Buffer Overflows - OpenSSL Blog », sur www.openssl.org (consulté le 2 novembre 2022)

cite-note-1616. ↑ « Re: [gentoo-dev] [RFC] Discontinuing LibreSSL support? [LWN.net] », sur lwn.net (consulté le 29 octobre 2022)

cite-note-172. 2014(en) « LibreSSL enabled by default », sur voidlinux.org, 6 août 2014 (consulté le 29 octobre 2022)

cite-note-183. 2021(en) « Switching back to OpenSSL », sur voidlinux.org, 23 février 2021 (consulté le 29 octobre 2022)

cite-note-194. « Alpine 3.9.0 released | Alpine Linux », sur alpinelinux.org (consulté le 29 octobre 2022)

cite-note-205. « [alpine-devel] Proposed change: openssl 1.1 as default system openssl implementation — alpinelinux lists », sur lists.alpinelinux.org (consulté le 29 octobre 2022)

cite-note-216. « '[PATCH] libressl: add dummy egd functions' - MARC », sur marc.info (consulté le 29 octobre 2022)

cite-note-227. « LibreSSL support discontinued – Gentoo Linux », sur www.gentoo.org (consulté le 29 octobre 2022)

cite-note-238. « Changelog — Python 3.4.10 documentation », sur docs.python.org (consulté le 29 octobre 2022)

cite-note-249. « PEP 644 – Require OpenSSL 1.1.1 or newer | peps.python.org », sur peps.python.org (consulté le 29 octobre 2022)

• viegamessierchandra2002john-viegamatt-messierpravir-chandra2002(en) John Viega, Matt Messier et Pravir Chandra, Network Security with OpenSSL : Cryptography for Secure Communications, Sebastopol, CA, O'Reilly, 15 juin 2002, 1re éd. (1re éd. 2002), 367 p. (ISBN 0-596-00270-X et 978-0-596-00270-1, OCLC 49959243, LCCN 2002025832)

• POODLE, faille dans SSL version 3

• Heartbleed

• Suite cryptographique

• site-officiel(en) Site officiel

• Portail de la sécurité des systèmes d'information

• Portail des logiciels libres

• Portail de la cryptologie

• Portail des télécommunications