Résumé :
La bibliothèque de logiciels de chiffrement open source OpenSSL a officiellement publié la version 4.1 le 23 octobre 2026. Cette mise à jour introduit un certain nombre de nouvelles fonctionnalités et d'optimisations de performances, notamment la prise en charge du protocole DTLS 1.3, la mise en œuvre du mécanisme GREASE, des algorithmes cryptographiques post-quantiques accélérés et l'optimisation de certaines opérations de chiffrement pour les processeurs x86-64 prenant en charge le jeu d'instructions AVX-512. En outre, la nouvelle version supprime également la prise en charge des builds pour les plates-formes Windows CE et Windows Itanium afin de nettoyer davantage le code hérité historique.
OpenSSL est l'une des bibliothèques de logiciels de chiffrement les plus importantes de l'infrastructure Internet et est largement utilisée dans les sites Web HTTPS, les serveurs, les VPN, les applications et autres systèmes nécessitant une communication sécurisée. Il est chargé de gérer des tâches telles que les connexions TLS, les certificats numériques, l'échange de clés, le cryptage et la vérification de l'intégrité des données. Ses mises à jour ne concernent donc pas seulement les développeurs, mais affectent également un grand nombre de logiciels et de services réseau qui en dépendent.
L'une des nouvelles fonctionnalités les plus importantes de cette mise à jour est la prise en charge officielle de DTLS 1.3. DTLS, le Datagram Transport Layer Security Protocol, peut être compris comme un protocole de sécurité orienté vers la communication par datagramme. Ses objectifs de conception sont similaires à ceux de TLS, mais il peut s'adapter aux environnements de transmission de données tels que UDP où des pertes de paquets, des incidents ou une arrivée retardée peuvent survenir.
Le TLS traditionnel est principalement utilisé pour les connexions TCP, tandis que de nombreuses communications en temps réel, jeux en ligne, applications vocales et vidéo, ainsi que certains appareils IoT nécessitent l'utilisation d'UDP pour réduire les délais de transmission. DTLS peut assurer le chiffrement, l’authentification et la protection de l’intégrité des données dans ces scénarios. DTLS 1.3 améliore encore la conception du protocole, raccourcit le processus de prise de contact et introduit des améliorations de sécurité correspondant à la technologie TLS moderne.
La nouvelle version ajoute également la prise en charge DTLS à l'API d'écoute SSL, ce qui permet aux développeurs d'utiliser plus facilement OpenSSL pour créer des services de sécurité basés sur le protocole de datagramme. Pour les applications qui nécessitent une communication à faible latence, cela devrait réduire la charge de travail liée à la mise en œuvre elle-même des mécanismes de sécurité pertinents.
Cependant, DTLS 1.3 ne signifie pas que toutes les applications utilisant OpenSSL bénéficieront automatiquement d'améliorations de performances. L'application doit encore utiliser activement l'interface correspondante et être configurée et testée en fonction de l'environnement réseau réel. Les avantages des nouveaux protocoles dépendent également des modèles de communication, des taux de perte de paquets réseau et de la mise en œuvre côté client et côté serveur.
OpenSSL 4.1 ajoute également la prise en charge du mécanisme GREASE. GREASE est l'abréviation de « Generate Random Extensions And Sustain Extensibility », qui a été initialement standardisée par l'Internet Engineering Task Force pour améliorer la compatibilité des extensions du protocole TLS.
L'approche principale de GREASE consiste à envoyer des valeurs de protocole aléatoires spécialement réservées et n'ayant aucune fonction réelle pendant le processus de prise de contact TLS. Cela vous permet de tester si les parties communicantes sont capables de gérer correctement les champs et paramètres d'extension inconnus, plutôt que de supposer à tort que toutes les futures valeurs de protocole ont été définies à l'avance. En exposant de manière proactive ces problèmes de compatibilité, les développeurs peuvent réduire le risque d'échec de connexion lors de l'ajout futur de nouvelles fonctionnalités de protocole.
En termes de performances cryptographiques, OpenSSL 4.1 continue d'améliorer la mise en œuvre d'algorithmes cryptographiques post-quantiques. Avec le développement de la technologie informatique quantique, les systèmes de cryptographie à clé publique traditionnels sont confrontés à des défis de sécurité potentiels à l'avenir, et les algorithmes de cryptographie post-quantique entrent progressivement dans la phase de normalisation et de déploiement effectif. OpenSSL se concentre cette fois sur l’optimisation des opérations liées au ML-DSA et au ML-KEM.
ML-DSA est un algorithme de signature numérique post-quantique qui peut être utilisé pour vérifier l'identité et empêcher la falsification des données ; ML-KEM est un mécanisme d'encapsulation de clé post-quantique utilisé pour négocier ou établir les clés partagées requises pour une communication sécurisée. Les deux sont basés sur le système de cryptographie post-quantique promu par le National Institute of Standards and Technology.
La nouvelle version optimise le fonctionnement de transformation de la théorie des nombres (NTT) de ML-DSA et ML-KEM pour les architectures de processeur telles que PPC64LE, et améliore également la mise en œuvre de ML-DSA sur la plate-forme x86-64. La transformation de la théorie des nombres est un maillon de calcul important dans ce type d’algorithme cryptographique basé sur un réseau, et l’optimisation de son efficacité d’exécution peut réduire la surcharge de calcul de certaines opérations de chiffrement.
Pour les processeurs x86-64 prenant en charge le jeu d'instructions AVX-512, la nouvelle version ajoute également l'optimisation SHAKE x4 pour ML-DSA. SHAKE est une fonction de sortie évolutive qui peut générer une sortie de différentes longueurs selon les besoins et joue un rôle important dans les algorithmes cryptographiques modernes. En tirant parti de la puissance de calcul vectorisée fournie par l'AVX-512, OpenSSL peut traiter davantage de données en parallèle, améliorant ainsi le débit des opérations associées.
Le cryptage AES a également été optimisé. OpenSSL 4.1 améliore l'implémentation du décryptage AES-CBC pour la plate-forme x86-64 et combine des capacités de jeu d'instructions telles que AVX-512 et VAES pour améliorer l'efficacité du traitement. L'accélération réelle sera affectée par le modèle de processeur, les options de compilation et les charges de travail spécifiques, et tous les processeurs n'obtiendront pas les mêmes avantages.
En plus des plates-formes grand public x86-64 et PPC64LE, la nouvelle version ajoute également pour la première fois une prise en charge préliminaire de l'architecture de processeur russe Elbrus 2000 (E2K). Cela signifie qu'OpenSSL étend encore davantage les plates-formes matérielles sur lesquelles il peut fonctionner. Cependant, la prise en charge préliminaire de l'architecture ne signifie pas que tous les algorithmes, chemins d'optimisation et outils périphériques bénéficient d'une prise en charge complète de l'environnement de production.
Cette mise à jour implique également la fonction de dérivation de clé (KDF) IKEv2. IKEv2 est largement utilisé dans les protocoles d'échange de clés Internet et est couramment utilisé dans les scénarios de sécurité réseau tels que le VPN IPsec. La nouvelle prise en charge peut étendre les fonctions cryptographiques d'OpenSSL et fournir un chemin de mise en œuvre plus direct pour les développeurs qui ont besoin d'utiliser ce mécanisme de dérivation de clé.
En termes de compatibilité, OpenSSL 4.1 supprime officiellement les cibles de build pour les plates-formes de processeur Windows CE et Windows Itanium. Windows CE est l'un des premiers systèmes d'exploitation pour les appareils embarqués, et Itanium est l'architecture de processeur IA-64 développée par Intel. À mesure que ces plates-formes ne sont plus utilisées, l'intérêt de continuer à maintenir les objectifs de construction associés diminue, et leur suppression peut réduire la charge de maintenance du projet.
En termes d'options de configuration, OpenSSL a supprimé les options no-ecdsa et no-ecdh. L'équipe de développement a souligné que ces deux options ne désactivaient pas réellement l'implémentation correspondante auparavant, il était donc facile de provoquer des malentendus. Les développeurs qui doivent désactiver la fonctionnalité de cryptographie à courbe elliptique doivent désormais utiliser l'option de configuration no-ec.
Un autre changement notable concerne l'outil tsget. Cet outil reposait auparavant sur le module Perl WWW::Curl::Easy, qui a été abandonné. Il utilise désormais Net::Curl::Easy à la place. Pour les utilisateurs qui utilisent tsget, ils doivent confirmer que les nouvelles dépendances ont été installées avant la mise à niveau, sinon les fonctions associées risquent de ne pas fonctionner correctement.
Bien qu'OpenSSL 4.1 apporte un certain nombre de nouvelles fonctionnalités, les notes de version répertorient également les problèmes connus liés à DTLS. Par exemple, après avoir reçu le message KeyUpdate de DTLS 1.3, certains enregistrements post-handshake qui n'ont pas encore été confirmés peuvent ne pas être renvoyés comme prévu ; des problèmes peuvent également survenir lors de la prise de contact dans certaines conditions de perte de paquets. L'équipe de développement prévoit de corriger ces défauts dans les versions ultérieures.
Par conséquent, les entreprises et les développeurs exécutant des services réseau critiques doivent toujours lire attentivement les notes de version officielles et vérifier les fonctions liées à DTLS dans l'environnement de test avant la mise à niveau. Si l'application n'utilise pas de nouvelles fonctionnalités, le temps de mise à niveau doit être déterminé en fonction de ses propres dépendances, de la stratégie de maintenance de la version du système d'exploitation et des exigences de sécurité. Il n'est pas nécessaire de remplacer immédiatement la bibliothèque de chiffrement dans l'environnement de production simplement parce que le numéro de version change.
Dans l'ensemble, OpenSSL 4.1 est une version fonctionnelle avec comme base la prise en charge d'un nouveau protocole, l'optimisation des performances de cryptographie post-quantique et les ajustements de maintenance de la plate-forme. DTLS 1.3 et GREASE aideront les développeurs à créer des systèmes de communication sécurisés plus modernes, tandis que AVX-512 et d'autres optimisations architecturales amélioreront encore l'efficacité de certaines opérations cryptographiques. À mesure que la cryptographie post-quantique entre progressivement dans la phase de déploiement proprement dite, la mise à jour continue des bibliothèques logicielles de base telles qu'OpenSSL deviendra une partie importante de l'évolution du système de sécurité Internet.
En savoir plus :
https://github.com/openssl/openssl/releases/tag/openssl-4.1.0
Commentaires