Le développement de cette nouvelle mouture majeure aura pris deux ans et 5 000 commits de 200 contributeurs.
Il s'agit d'une LTS (Long Term Support) qui sera maintenue pendant au moins cinq ans. La précédente LTS était pour rappel la 1.0.2, supportée jusqu'à la fin de l'année. OpenSSL 1.1.1 est compatible avec les API et ABI d'OpenSSL 1.1.0, facilitant la transition.
La principale nouveauté est la prise en charge de TLS 1.3, dont la version finale a été récemment mise en ligne par l'IETF. Le générateur de nombres aléatoires a été entièrement réécrit, la sécurité contre des attaques Side-Channel renforcée et de nouveaux algorithmes sont disponibles : SHA3, SHA512/224, SHA512/256, Multi-prime RSA, etc.
Les notes de versions détaillées sont disponibles par ici.
Commentaires (9)
#1
Y’a des infos sur l’apparition de cette mouture dans les dépôts ? Debian, fedora, red hat?…
#2
IL y a pas longtemps j’ai déjà passé tout les serveurs et sites en TLS 1.2, va falloir encore tout changer! Pfiouuuuu ça va tellement vite tout ça!
#3
#4
Côté Debian ça avance depuis ce matin :
https://tracker.debian.org/pkg/openssl
Mais je me demande si il faut que le serveur web (nginx dans mon cas) soit aussi mis à jour pour assurer une compatibilité avec la librairie.
#5
Oui, il faut que nginx soit en version 1.13.0+ (si tu cherches dans le changelog http://nginx.org/en/CHANGES)
#6
Le CHANGELOG précise que c’est avec BoringSSL, est-ce qu’il faut attendre une nouvelle version pour que ce soit compatible avec OpenSSL ?
#7
Il faut que le paquet nginx soit re-compilé avec la nouvelle version de OpenSSL.
Pour l’image Docker, par exemple, ça devrait se faire rapidement (automatiquement) une fois le paquet OpenSSL distribué sur Debian & Alpine.
Sinon, le faire soit même (c’est simple et rapide pour nginx).
#8
C’est un ajout pour la version 1.15.3, une alternative, je parlais bien de la version 1.13.0 :
“Feature: the “TLSv1.3” parameter of the “ssl_protocols” directive.”
#9
Ok, oui, j’avais déjà cette information.
Puis bon, enfaite, c’est vrai que c’est plutôt logique que ça dépend de la version de la bibliothèque utilisé pour les dépendances.
Plus qu’a attendre que tout cela arrive dans les dépôts.