Résumé :
Le projet de logiciel de chiffrement open source LibreSSL a publié la version officielle 4.4.0 le 22 octobre 2026. Il s'agit de la première version stable de la série 4.4.x et est également livrée avec OpenBSD 8.0. La nouvelle version apporte un certain nombre de correctifs de sécurité, d'améliorations des performances et de mises à jour de compatibilité de plate-forme, en se concentrant sur la suppression du certificat racine eMudhra présentant des risques de sécurité, l'optimisation de l'efficacité d'exécution de l'algorithme SHA-3 et la résolution de plusieurs problèmes dans le traitement des certificats TLS, DTLS et X.509.
En savoir plus :
https://www.liressl.org/
LibreSSL, initialement lancée par le projet OpenBSD, est une bibliothèque de logiciels de communication cryptée axée sur la sécurité et la simplicité du code. Il est dérivé du code OpenSSL, mais au cours du processus de développement, certaines anciennes interfaces et fonctions complexes sont progressivement supprimées et des ajustements continus sont apportés pour la sécurité, la maintenabilité et les protocoles de cryptage modernes. LibreSSL fournit non seulement la base de chiffrement pour OpenBSD, mais dispose également d'une version portable qui peut fonctionner sur divers systèmes d'exploitation tels que Linux, FreeBSD, NetBSD, macOS et Windows.L'un des changements les plus importants de la version 4.4.0 est l'ajustement de l'ensemble de certificats racine de confiance par défaut. L'équipe de développement a supprimé le certificat racine emSign ECC Root CA - G3 d'eMudhra du fichier de certificat cert.pem par défaut, car certaines autorités de certification de niveau inférieur dans le système de certification utilisaient des clés de force insuffisante. Pour des raisons de compatibilité, les développeurs ont également ajouté des certificats intermédiaires non concernés.
Cet ajustement concerne le mécanisme de confiance des certificats dans les connexions HTTPS. Les navigateurs, les systèmes d'exploitation et les logiciels de chiffrement utilisent généralement des certificats racines de confiance pour déterminer si un certificat de site Web est émis par une organisation de confiance. Si un système de certificat présente des problèmes de sécurité, tels qu'une force de clé insuffisante, les attaquants peuvent profiter de ses faiblesses pour tenter de falsifier des certificats ou de contourner certains contrôles de confiance. Par conséquent, la suppression des certificats racines à risque peut contribuer à réduire les risques de sécurité associés.
L'équipe de développement vous rappelle spécialement que vous devez vérifier le fichier de certificat local lors de la mise à niveau. Étant donné que les fichiers cert.pem, openssl.cnf et x509v3.cnf existants ne sont plus automatiquement écrasés lors de la réinstallation de LibreSSL, les utilisateurs devront peut-être vérifier et fusionner manuellement les modifications de certificat si le gestionnaire de packages ne gère pas automatiquement la fusion de configuration. L'équipe de développement recommande de confirmer que l'entrée du certificat racine « CN=emSign ECC Root CA - G3 » n'est plus incluse dans cert.pem.
En termes de performances, LibreSSL 4.4.0 améliore la mise en œuvre de l'algorithme SHA-3 et adopte des méthodes d'optimisation telles que les boucles déroulées et le traitement entrelacé pour améliorer l'efficacité d'exécution des calculs associés. SHA-3 est un algorithme de hachage cryptographique qui peut être utilisé pour la vérification de l'intégrité des données, les signatures numériques et d'autres protocoles de sécurité. Cette amélioration concerne principalement la mise en œuvre de l’algorithme lui-même. L'amélioration réelle des performances sera affectée par l'architecture du processeur, le compilateur et la charge de travail spécifique.
La nouvelle version améliore également la compatibilité de compilation et d'exécution sur plusieurs plates-formes. Du côté de macOS, le problème avec la fonction réseau netcat (nc) a été résolu et la prise en charge de la build pour macOS 27.0 a été ajoutée. Dans l'environnement Windows, l'équipe de développement a résolu certains problèmes sous le compilateur MSVC, notamment l'optimiseur ARM64 générant des codes d'erreur dans des codes arithmétiques entiers à temps constant, et a également amélioré les connexions réseau, la lecture et l'écriture de fichiers et la synchronisation des threads dans la couche de compatibilité Windows.
Pour Linux et autres systèmes de type Unix, la nouvelle version améliore la prise en charge des assemblys SHA sur la plate-forme AArch64 et ajoute ou améliore les configurations d'implémentation d'assembly pour RISC-V, MIPS et d'autres architectures. De plus, le système de build CMake utilisera désormais des options d'atténuation de sécurité du compilateur et de l'éditeur de liens cohérentes avec la méthode de build Autotools, rendant les logiciels générés par différents processus de build plus cohérents en termes de renforcement de la sécurité.
LibreSSL 4.4.0 contient également un certain nombre de correctifs en termes d'implémentation des protocoles TLS et DTLS. L'équipe de développement a amélioré la logique de traitement du serveur TLS 1.3 lorsque les deux parties ne disposent pas d'un groupe cryptographique mutuellement pris en charge et a corrigé certains problèmes dans le processus de prise de contact. Les améliorations liées au DTLS impliquent le traitement des messages de prise de contact, l'enregistrement des numéros de séquence et les files d'attente de données, visant à améliorer la fiabilité de la connexion et la cohérence du traitement du protocole.
La vérification du certificat X.509 est un autre domaine important de mise à jour. La nouvelle version corrige les problèmes de résolution du nom d'hôte URI dans les contraintes de nom de certificat, notamment la gestion correcte des littéraux d'adresse IPv6 et l'empêchement des informations utilisateur spécialement construites de contourner les vérifications de nom d'hôte. En outre, l'équipe de développement a également amélioré la logique telle que la vérification de la chaîne de certificats, la vérification de l'adresse e-mail et du nom du sujet afin de réduire davantage les risques de sécurité dans le processus d'analyse et de vérification des certificats.
LibreSSL 4.4.0 corrige également plusieurs défauts pouvant entraîner des problèmes de sécurité de la mémoire, notamment des écritures hors limites, des lectures hors limites, des accès à des pointeurs nuls et une libération de mémoire incorrecte dans certains tampons. L'équipe de développement a également ajusté le mécanisme de gestion des erreurs de certaines opérations de chiffrement pour empêcher le programme de continuer à utiliser des données qui n'ont pas été correctement initialisées après un échec.
En termes de compatibilité, la nouvelle version ajuste le groupe d'échange de clés préféré TLS 1.3 dans libtls à X25519MLKEM768. La combinaison combine l'échange de clés à courbe elliptique traditionnel X25519 avec le mécanisme d'encapsulation de clé post-quantique ML-KEM, visant à fournir des capacités de sécurité quantique évolutives pour les connexions TLS. Cela ne signifie pas que toutes les applications utilisant LibreSSL activeront automatiquement la même configuration, le comportement spécifique dépend toujours de la manière dont l'application appelle libtls et de ses paramètres de connexion.
De plus, l'équipe de développement a déprécié une interface de chaîne de certificats avec un nom trompeur, tls_peer_cert_chain_pem(), et a recommandé aux développeurs d'utiliser plutôt des interfaces telles que tls_peer_cert_chain_verified_pem() ou tls_peer_cert_bundle_unverified_pem() pour distinguer plus clairement les données de chaîne de certificats vérifiées et non vérifiées. Le projet continue également de nettoyer l'ancien code, en supprimant la logique de traitement des protocoles et les interfaces héritées qui ne sont plus nécessaires.
Le projet LibreSSL a déclaré que la nouvelle version poursuit l'objectif d'améliorer continuellement la sécurité, la fiabilité et la portabilité du code, et invite la communauté à continuer de soumettre des commentaires et des suggestions d'amélioration. Pour les responsables du système et les développeurs de logiciels, la version 4.4.0 n'est pas seulement une mise à niveau de version régulière, mais contient également des modifications de confiance de certificat et des correctifs de sécurité qui nécessitent une attention particulière.
En général, l'objectif de LibreSSL 4.4.0 n'est pas d'introduire un nouvel algorithme de chiffrement, mais de renforcer davantage l'infrastructure de chiffrement existante, d'optimiser les performances des algorithmes couramment utilisés et d'améliorer la compatibilité sur différents systèmes d'exploitation et architectures de processeur. Pour les projets logiciels qui s'appuient sur LibreSSL pour établir des connexions TLS, vérifier des certificats ou traiter des données cryptées, vous devez vérifier la compatibilité de l'interface et la configuration des certificats locaux avant la mise à niveau, et organiser les tests et le déploiement en fonction de votre propre environnement.
Commentaires