Abo
  • Services:
Anzeige
LibreSSL erarbeitet ein neues API für TLS-Verbindungen.
LibreSSL erarbeitet ein neues API für TLS-Verbindungen. (Bild: Bob Beck)

Ressl: LibreSSL-Projekt erstellt nutzerfreundliches SSL-API

Das von OpenBSD-Entwicklern gestartete LibreSSL-Projekt erstellt ein komplett neues API, das von OpenSSL und dem Fork abstrahiert. Die Schnittstelle soll auf tatsächliche Anwendungsfälle beschränkt bleiben und könnte universellen Charakter für den TLS-Stack bekommen.

Anzeige

Bereits kurz nach der Ankündigung des OpenSSL-Fork durch das OpenBSD-Team haben laut dem Entwickler Ted Unangst viele kritisiert, dass das "OpenSSL-API so schlecht ist, dass es sich nicht lohnt, es zu erhalten". Wie Unangst nun in einer Rückschau auf die bisherige Entwicklung von LibreSSL bekanntgibt, arbeiten er und Joel Sing deshalb an einer Umsetzung eines neuen API.

Die neue Schnittstelle werde vorerst unter dem Namen ReSSL entwickelt, der in etwa für "SSL neu gedacht" stehen könnte, schreibt Unangst in der Zusammenfassung seines Vortrags auf der EuroBSD-Konferenz. Bisher hat das LibreSSL-Projekt die API zu OpenSSL kompatibel gehalten, um schnell und erfolgreich von anderen Projekten eingesetzt werden zu können. Darauf baut die neue Schnittstelle nun auf.

Hauptziele von ReSSL sind "Konsistenz und Einfachheit". Die Bibliothek ist als Antwort auf die Frage "Was möchte ein Nutzer machen?" geschrieben und nicht etwa als Antwort auf "Was erlaubt das TLS-Protokoll einem Nutzer?". Mit der neuen Software ist es möglich, "sichere Verbindungen mit einem Server aufzunehmen, einen sicheren Server aufzusetzen und einige Daten über diese Verbindung zu lesen und zu schreiben".

Um das zu erreichen, werden keinerlei Interna aus OpenSSL oder ReSSL, wie Typen oder Funktionen, preisgegeben. Denn Nutzer oder auch Entwickler sollten sich eigentlich so gut wie nie Gedanken über X.509 oder ASN.1 machen müssen. Folglich ließe sich das API auch sehr einfach in andere Sprachen einbinden. Es sei sogar so einfach, dass damit fast genauso gut der Transport über einen SSH-Tunnel beschrieben werden könne, schreibt Unangst.

Darüber hinaus erlaube die aktuelle Implementierung die Verwendung mit OpenSSL, aber auch mit anderen Projekten, die einen TLS-Stack anbieten. Denn es wird nicht einfach versucht, das OpenSSL-API nachzubauen, sondern ein so abstraktes und so gutes API bereitzustellen, dass andere dieses allgemeine API ebenfalls nutzen können. Denn der Bruch mit der Monokultur helfe dem gesamten Ökosystem.

Hostname-Verifikation und erste Client-Anwendungen

Die wohl herausragendste neue Funktion in ReSSL ist die Verifikation des Hostname. Denn neben der Überprüfung des Zertifikats muss, um die Sicherheit zu gewährleisten, auch der Hostname in dem Zertifikat mit dem der aktuellen Verbindung verglichen werden. Doch Letzteres werde oft vergessen, da OpenSSL diese Funktion nicht anbiete und sie selbst implementiert werden muss.

Zwar gebe es viele Sprachanbindungen für die Funktion, etwa in Python oder Ruby, die Umsetzung werde trotzdem oft vergessen. Zudem unterscheide sich der Code der einzelnen Implementierungen sehr häufig im Detail, da jeder diesen neu schreiben muss. Das betreffe vor allem Situationen mit Wildcard-Zertifikaten oder eingebetteten Null-Bytes. Die Überprüfung des Hostname ist in ReSSL immer aktiviert, es gebe außerdem keine Möglichkeit, die Funktion ohne die Verifikation aufzurufen.

Damit sich das neue API durchsetzt, müssen die Anwendungen umgeschrieben werden, die SSL- beziehungsweise TLS-Verbindungen verwenden. Ebenso muss die Schnittstelle in ihrer Verwendung getestet werden. Dazu synchronisiert das Team die Entwicklung von ReSSL mit den OpenBSD-eigenen FTP-Client und HTTP-Daemon, damit sich ReSSL wie gewünscht weiterentwickeln kann.

Für die Verwendung in externen Programme ist die Bibliothek wohl derzeit aber noch nicht reif genug, wie Unangst einräumt. Das dauere voraussichtlich noch einige Monate. Der Code des neuen API findet sich unter dem Namen Libressl, der des OpenSSL-Forks wird in Libssl gepflegt. Die portable Version von Letzterem steht über die Server von OpenBSD bereit.


eye home zur Startseite



Anzeige

Stellenmarkt
  1. Suzuki Deutschland GmbH, Bensheim
  2. Novotechnik Messwertaufnehmer OHG, Ostfildern
  3. ALDI SOUTH group, Mülheim an der Ruhr
  4. DEKRA SE, Stuttgart


Anzeige
Hardware-Angebote
  1. 17,99€ statt 29,99€
  2. täglich neue Deals
  3. (täglich neue Deals)

Folgen Sie uns
       


  1. Komplett-PC

    In Nvidias Battleboxen steckt AMDs Ryzen

  2. Internet

    Cloudflare macht IPv6 parallel zu IPv4 jetzt Pflicht

  3. Square Enix

    Neustart für das Final Fantasy 7 Remake

  4. Agesa 1006

    Ryzen unterstützt DDR4-4000

  5. Telekom Austria

    Nokia erreicht 850 MBit/s im LTE-Netz

  6. Star Trek Bridge Crew im Test

    Festgetackert im Holodeck

  7. Quantenalgorithmen

    "Morgen könnte ein Physiker die Quantenmechanik widerlegen"

  8. Astra

    ZDF bleibt bis zum Jahr 2020 per Satellit in SD verfügbar

  9. Kubic

    Opensuse startet Projekt für Container-Plattform

  10. Frühstart

    Kabelnetzbetreiber findet keine Modems für Docsis 3.1



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Sphero Lightning McQueen: Erst macht es Brummbrumm, dann verdreht es die Augen
Sphero Lightning McQueen
Erst macht es Brummbrumm, dann verdreht es die Augen

Quantencomputer: Nano-Kühlung für Qubits
Quantencomputer
Nano-Kühlung für Qubits
  1. IBM Q Mehr Qubits von IBM
  2. Quantencomputer Was sind diese Qubits?
  3. Verschlüsselung Kryptographie im Quantenzeitalter

XPS 13 (9365) im Test: Dells Convertible zeigt alte Stärken und neue Schwächen
XPS 13 (9365) im Test
Dells Convertible zeigt alte Stärken und neue Schwächen
  1. Prozessor Intel wird Thunderbolt 3 in CPUs integrieren
  2. Schnittstelle Intel pflegt endlich Linux-Treiber für Thunderbolt
  3. Asus B9440 im Test Leichtes Geschäftsnotebook liefert zu wenig Business

  1. Re: Gibt es noch Menschen die Analog schauen

    Reddead | 22:40

  2. Re: ... Kabel Deutschland schon heute ausschlie...

    GenXRoad | 22:33

  3. Re: "Hass im Netz" klingt nach Zensur für mich

    bombinho | 22:32

  4. Re: Störende Kabel?

    Daemoneyes | 22:31

  5. Re: 20kW Leistung... was ein Witz sowas überhaupt...

    Käx | 22:31


  1. 18:08

  2. 17:37

  3. 16:55

  4. 16:46

  5. 16:06

  6. 16:00

  7. 14:21

  8. 13:56


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel