Nach OpenSSL-Fork: LibreSSL-Entwickler ziehen erstes Fazit

Einen Monat nach dem OpenSSL-Fork gibt OpenBSD-Foundation-Vorstand Bob Beck einen Lagebericht ab. Das Projekt suche weiter nach einer Finanzierung, habe den Code aber weiter verbessert und Fehler behoben.

Artikel veröffentlicht am ,
Für LibreSSL gibt es viele konkrete Pläne.
Für LibreSSL gibt es viele konkrete Pläne. (Bild: Bob Beck)

Nach Bekanntwerden der Heartbleed-Lücke in OpenSSL überprüften die OpenBSD-Entwickler den Code, kamen dabei zu dem Schluss, dass dieser nicht zu reparieren sei, und gründeten den Fork LibreSSL. Der Vorstand der OpenBSD-Foundation, Bob Beck, zieht nun etwa einen Monat nach dem Entstehen von LibreSSL auf der Konferenz BSDCan 2014 eine weitgehend positive Bilanz.

OpenSSL ist weiter problematisch

Stellenmarkt
  1. Mitarbeiter IT-Support im Geschäftsleitungsumfeld (m/w/d)
    Deutsche Vermögensberatung AG, Marburg
  2. IT-Admistratorin/IT-Admistra- tor File Services und Speichersysteme (m/w/d)
    Robert Koch-Institut, Wildau
Detailsuche

Zu OpenSSL erläutert Beck, dass vorhandener Code, der Fehler behebe, nicht eingepflegt würde. Darüber hinaus seien die Probleme mit der internen Speicherzuweisung bereits seit vier Jahren bekannt. Zudem habe die OpenSSL-Foundation den Anschein eines gewinnorientierten Unternehmens, das FIPS-Beratungen vornehme.

Ziel sei es weiterhin, Fehler zu beheben, mehr Entwickler für den Code zu finden sowie die API und ABI zu OpenSSL stabil zu halten, was aber nicht immer einfach sei. Ebenso sei aber auch viel Code entfernt worden, etwa der "#ifdef Horror". Außerdem hätten die Entwickler sämtliche Quellen für Entropy auf das Betriebssystem ausgelagert.

Als Quelle für mögliche Fehler diene den LibreSSL-Entwicklern der OpenSSL-Bugtracker. Das OpenBSD-Team habe viele Fehler daraus behoben und Nutzer fragten mittlerweile das LibreSSL-Team direkt, gefundene Fehler zu beheben.

Neues für LibreSSL

Golem Akademie
  1. Scrum Product Owner: Vorbereitung auf den PSPO I (Scrum.org): virtueller Zwei-Tage-Workshop
    3.–4. März 2022, virtuell
  2. First Response auf Security Incidents: Ein-Tages-Workshop
    4. März 2022, Virtuell
Weitere IT-Trainings

Das LibreSSL-Team habe verschiedene neue Cipher in den Code integriert, dazu zählten Brainpool, Chacha oder Poly1305. Darüber hinaus strebe LibreSSL nicht an, FIPS-Algorithmen zu verwenden, da dies "schädlich für die Sicherheit der Bibliothek sei."

Zusätzlich plane das Team, die API zu verkleinern, nichtkryptografische Bestandteile aus Libcrypto zu entfernen sowie diese selbst von Libssl zu trennen. Einige größere Teile des Codes müssten außerdem komplett neu geschrieben werden. Um das zu finanzieren, suche die OpenBSD-Foundation nach wie vor nach Sponsoren. Es sollen mehrere Entwickler entscheidende Stellen der Software neu schreiben und auch die Portierbarkeit des Codes soll von dem Sponsoring profitieren. Zwar habe das Team dazu die Linux-Foundation angefragt, die habe das jedoch bisher abgelehnt.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Feldversuch E-Mobility-Chaussee
So schnell bringen E-Autos das Stromnetz ans Limit

Das Laden von Elektroautos stellt Netzbetreiber auf dem Land vor besondere Herausforderungen. Ein Pilotprojekt hat verschiedene Lösungen getestet.
Ein Bericht von Friedhelm Greis

Feldversuch E-Mobility-Chaussee: So schnell bringen E-Autos das Stromnetz ans Limit
Artikel
  1. Geforce Now (RTX 3080) im Test: 1440p120 mit Raytracing aus der Cloud
    Geforce Now (RTX 3080) im Test
    1440p120 mit Raytracing aus der Cloud

    Höhere Auflösung, mehr Bilder pro Sekunde, kürzere Latenzen: Geforce Now mit virtueller Geforce RTX 3080 ist Cloud-Gaming par excellence.
    Ein Test von Marc Sauter

  2. Encrochat-Hack: Damit würde man keinen Geschwindigkeitsverstoß verurteilen
    Encrochat-Hack
    "Damit würde man keinen Geschwindigkeitsverstoß verurteilen"

    Der Anwalt Johannes Eisenberg hat sich die Daten aus dem Encrochat-Hack genauer angesehen und viel Merkwürdiges entdeckt.
    Ein Interview von Moritz Tremmel

  3. SpaceX: Starlink testet Satelliteninternet in Flugzeugen
    SpaceX
    Starlink testet Satelliteninternet in Flugzeugen

    Bald dürften mehrere Flugesellschaften Starlink-Service anbieten. Laut einem Manager soll es so schnell wie möglich gehen.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Gaming-Monitore zu Bestpreisen (u. a. Samsung G9 49" 32:9 Curved QLED 240Hz 1.149€) • Spiele günstiger: PC, PS5, Xbox, Switch • Zurück in die Zukunft Trilogie 4K 31,97€ • be quiet 750W-PC-Netzteil 87,90€ • Cambridge Audio Melomonia Touch 89,95€ • Gaming-Stühle zu Bestpreisen [Werbung]
    •  /