zurück zum Artikel

OpenSSL ist historisch gewachsen und unübersichtlich. Das OpenBSD-Team hat deshalb einen Fork namens LibreSSL gestartet, der von Ballast befreit werden soll.

Das OpenBSD-Projekt durchforstet [1] gerade den Quellcode des Krypto-Frameworks OpenSSL und hat dabei schon so manche skurrile Entdeckung gemacht. So werden etwa Informationen über den privaten RSA-Schlüssel als Entropie beim Generieren von Zufallszahlen genutzt [2], was eine Timing-Attacke [3] begünstigen soll.

Die Erkenntnisse aus der gründlichen Code-Analyse sollen dem jüngst von dem OpenBSD-Projekt gestarteten OpenSSL-Fork namens LibreSSL zu gute kommen. Zum Ausmisten zählt neben dem Neuschreiben einiger Stellen auch der Wegfall von als überflüssig erachteten Bestandteilen wie etwa die Heartbeat-Funktion, die zu der fatalen Heartbleed-Lücke [4] geführt hat. Aber auch die Unterstützung von Windows und Mac OS stehen auf der Streichliste – Windows bringt bereits ein eigenes Krypto-Framework mit.

Gegenüber ZDnet [5] erklärte OpenBSD-Gründer Theo de Raadt, dass sein Team bereits über 90.000 Zeilen C-Code aus dem Fork entfernt habe. "99,99 Prozent der Community interessiert sich nicht für VMS-Support [6] und 98 Prozent interessieren sich nicht für Windows-Unterstützung. Sie interessieren sich für POSIX-Support, weil damit die Unix-Kompatibilität gewährleistet ist", so de Raadt. LibreSSL soll vollständig kompatibel zur OpenSSL-API bleiben, wodurch Entwickler leicht auf den Fork umsatteln können. (rei [7])

URL dieses Artikels:
https://www.heise.de/-2174226

Links in diesem Artikel:
[1] http://opensslrampage.org/
[2] http://marc.info/?l=openbsd-cvs&m=139773689013690&w=2
[3] https://twitter.com/matthew_d_green/status/456960435845996544
[4] https://www.heise.de/hintergrund/So-funktioniert-der-Heartbleed-Exploit-2168010.html
[5] http://www.zdnet.com/openbsd-forks-prunes-fixes-openssl-7000028613/
[6] http://de.wikipedia.org/wiki/Virtual_Memory_System
[7] mailto:rei@heise.de

Copyright © 2014 Heise Medien