OpenSSL 4.1.0 DTLS 1.3 ಮತ್ತು GREASE ಅನ್ನು ತರುತ್ತದೆ: ನೀವು ಅಪ್‌ಗ್ರೇಡ್ ಮಾಡುವ ಮೊದಲು ಏನು ಪರೀಕ್ಷಿಸಬೇಕು

ಹೊಸ OpenSSL ಬಿಡುಗಡೆಯು ಯಾವಾಗಲೂ ಸರಳವಾದ ಲೈಬ್ರರಿ ಬದಲಾವಣೆಯಂತೆ ಕಾಣುತ್ತದೆ. OpenSSL 4.1.0 ಅದಕ್ಕಿಂತ ಹೆಚ್ಚಿನ ಕಾಳಜಿಗೆ ಅರ್ಹವಾಗಿದೆ, ಏಕೆಂದರೆ ಅದರ ಪ್ರಮುಖ ವೈಶಿಷ್ಟ್ಯವಾದ DTLS 1.3, ನೆಟ್‌ವರ್ಕ್ ಅಸಹಜವಾಗಿ ವರ್ತಿಸಿದಾಗ ಮಾತ್ರ ಕಾಣಿಸಿಕೊಳ್ಳುವ ನಾಲ್ಕು ತಿಳಿದಿರುವ ಸಮಸ್ಯೆಗಳೊಂದಿಗೆ ಬರುತ್ತದೆ.

ನವೆಂಬರ್ 2, 2026 ರಂತೆ, OpenSSL 4.1.0 ಇಂಟರ್ನೆಟ್‌ನ ಎನ್‌ಕ್ರಿಪ್ಟ್ ಮಾಡಿದ ಸಂಪರ್ಕಗಳ ದೊಡ್ಡ ಪಾಲನ್ನು ಸುರಕ್ಷಿತಗೊಳಿಸುವ ಟೂಲ್‌ಕಿಟ್‌ನ ಹೊಸ ವೈಶಿಷ್ಟ್ಯ ಬಿಡುಗಡೆಯಾಗಿದೆ. ಇದು DTLS 1.3, GREASE, ವೇಗವಾದ ಪೋಸ್ಟ್-ಕ್ವಾಂಟಮ್ ಮತ್ತು AES ಕೋಡ್ ಪಾತ್‌ಗಳು ಹಾಗೂ ಹಲವಾರು ಬಿಲ್ಡ್ ಬದಲಾವಣೆಗಳನ್ನು ಸೇರಿಸುತ್ತದೆ. OpenSSL ಬಳಸಿ ಸಾಫ್ಟ್‌ವೇರ್ ಅನ್ನು ರವಾನಿಸುವ ಯಾವುದೇ ತಂಡಕ್ಕೆ, ಪ್ರಸ್ತುತ ಪ್ರಶ್ನೆಗಳು ಪ್ರಾಯೋಗಿಕವಾಗಿವೆ: ಹೊಸ ಬಿಡುಗಡೆಯನ್ನು ಅಳವಡಿಸಿಕೊಳ್ಳುವುದು ಸೂಕ್ತವೇ, ಮತ್ತು ಅದರ ದಾಖಲಿತ ಮಿತಿಗಳೊಂದಿಗೆ ಅಪ್ಲಿಕೇಶನ್‌ಗಳು ಸರಿಯಾಗಿ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತವೆಯೇ?

ಸರಳ ಮಾತುಗಳಲ್ಲಿ DTLS 1.3 ಎಂದರೇನು

ಹೆಚ್ಚಿನ ಎನ್‌ಕ್ರಿಪ್ಟ್ ಮಾಡಿದ ವೆಬ್ ಟ್ರಾಫಿಕ್ TCP ಮೇಲೆ ಚಲಿಸುವ TLS ಅನ್ನು ಬಳಸುತ್ತದೆ. TCP ಒಂದು ವಿಶ್ವಾಸಾರ್ಹ ಸಾರಿಗೆಯಾಗಿದೆ: ಇದು ಕಳೆದುಹೋದ ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ಮರುಕಳುಹಿಸುತ್ತದೆ ಮತ್ತು ಅವುಗಳನ್ನು ಕ್ರಮವಾಗಿ ತಲುಪಿಸುತ್ತದೆ.

DTLS (Datagram Transport Layer Security) ಅಂತಹ ಯಾವುದೇ ಭರವಸೆಗಳನ್ನು ನೀಡದ ಸಾರಿಗೆಯಾದ UDP ಮೇಲೆ ಅದೇ ರಕ್ಷಣಾತ್ಮಕ ಕೆಲಸವನ್ನು ಮಾಡುತ್ತದೆ. ಪ್ಯಾಕೆಟ್‌ಗಳು ತಡವಾಗಿ ಬರಬಹುದು, ಕ್ರಮ ತಪ್ಪಿ ಬರಬಹುದು ಅಥವಾ ಬರದೇ ಇರಬಹುದು. ವೀಡಿಯೊ ಕರೆಗಳು, VPNಗಳು, ಆಟದ ಟ್ರಾಫಿಕ್ ಮತ್ತು ಅನೇಕ IoT ಸಾಧನಗಳು UDP ಅನ್ನು ಅವಲಂಬಿಸಿವೆ ಏಕೆಂದರೆ ಅದು ವೇಗವಾಗಿರುತ್ತದೆ, ಮತ್ತು DTLS ಅವುಗಳ ಗೌಪ್ಯತೆಯನ್ನು ಕಾಪಾಡುವ ವಿಧಾನವಾಗಿದೆ.

DTLS 1.3 ಅನ್ನು RFC 9147 ರಲ್ಲಿ ವ್ಯಾಖ್ಯಾನಿಸಲಾಗಿದೆ ಮತ್ತು ಇದನ್ನು TLS 1.3 ಆಧಾರದ ಮೇಲೆ ನಿರ್ಮಿಸಲಾಗಿದೆ. ಇದು UDP ಯ ಡೇಟಾಗ್ರಾಮ್ ನಡವಳಿಕೆಯನ್ನು ಉಳಿಸಿಕೊಂಡು ಕದ್ದಾಲಿಕೆ, ತಿರುಚುವಿಕೆ ಮತ್ತು ನಕಲಿ ಸಂದೇಶಗಳಿಂದ ರಕ್ಷಿಸುತ್ತದೆ. ನಿರ್ದಿಷ್ಟವಾಗಿ ಕ್ರಮಬದ್ಧತೆ ಮತ್ತು ರಿಪ್ಲೇ ರಕ್ಷಣೆಯ (replay protection) ಸುತ್ತ, ಅದರ ಖಾತರಿಗಳು TLS ನಿಂದ ಎಲ್ಲಿ ಭಿನ್ನವಾಗಿವೆ ಎಂಬುದನ್ನು ನಿರ್ದಿಷ್ಟತೆಯು ಎಚ್ಚರಿಕೆಯಿಂದ ಹೇಳುತ್ತದೆ. ಆದ್ದರಿಂದ ನಿಮ್ಮ ಅಪ್ಲಿಕೇಶನ್ ಇನ್ನೂ ಕೆಲವು ವಿಷಯಗಳನ್ನು ಸ್ವತಃ ನಿರ್ವಹಿಸಬೇಕಾಗುತ್ತದೆ.

ಮುಖ್ಯ ಪಾಠ: ಕ್ಲೀನ್ ಲ್ಯಾಬ್ ನೆಟ್‌ವರ್ಕ್‌ನಲ್ಲಿ ಕಾರ್ಯನಿರ್ವಹಿಸುವ DTLS ಸಂಪರ್ಕವು ಸಾಬೀತುಪಡಿಸುವುದು ಬಹಳ ಕಡಿಮೆ. ಕಳೆದುಹೋದ ಪ್ಯಾಕೆಟ್‌ಗಳು, ವಿಳಂಬವಾದ ಪ್ರತ್ಯುತ್ತರಗಳು, ಮರುಪ್ರಸರಣಗಳು, ಮತ್ತು ಇನ್ನೊಂದು ತುದಿಯಲ್ಲಿ ವಿಭಿನ್ನ ಅನುಷ್ಠಾನದೊಂದಿಗೆ ಸಂವಹನ ನಡೆಸುವುದು ಕಠಿಣ ಸಂದರ್ಭಗಳಾಗಿವೆ.

ನಾಲ್ಕು ತಿಳಿದಿರುವ DTLS ಸಮಸ್ಯೆಗಳು

ಬಿಡುಗಡೆ ಟಿಪ್ಪಣಿಗಳು ನಾಲ್ಕು ತಿಳಿದಿರುವ ಸಮಸ್ಯೆಗಳನ್ನು ಪಟ್ಟಿ ಮಾಡುತ್ತವೆ. ಅವು ಸಂಪರ್ಕದ ನಡವಳಿಕೆ ಮತ್ತು ವಿಶ್ವಾಸಾರ್ಹತೆಯ ಮೇಲೆ ಪರಿಣಾಮ ಬೀರುತ್ತವೆ. ಪ್ರಕಟಣೆಯು ಅವುಗಳನ್ನು ನಿರ್ಣಾಯಕ ದುರ್ಬಲತೆಗಳೆಂದು ವಿವರಿಸುವುದಿಲ್ಲ ಮತ್ತು ಯಾವುದೇ ಸಕ್ರಿಯ ದುರುಪಯೋಗವನ್ನು ವರದಿ ಮಾಡುವುದಿಲ್ಲ. ಆದಾಗ್ಯೂ, ಪ್ರತಿಯೊಂದೂ ಸಿದ್ಧ ಪರೀಕ್ಷಾ ಪ್ರಕರಣವಾಗಿದೆ.

ಕೀ ಅಪ್‌ಡೇಟ್‌ಗಳು ಸೆಷನ್-ಟಿಕೆಟ್ ಮರುಪ್ರಸರಣವನ್ನು ನಿಲ್ಲಿಸಬಹುದು (issue #32878)

DTLS 1.3 ಹ್ಯಾಂಡ್‌ಶೇಕ್ ನಂತರ, ಸರ್ವರ್ ಸೆಷನ್ ಟಿಕೆಟ್‌ಗಳನ್ನು ಕಳುಹಿಸಬಹುದು. ಇವು ಕ್ಲೈಂಟ್‌ಗೆ ನಂತರ ತ್ವರಿತವಾಗಿ ಮರುಸಂಪರ್ಕಿಸಲು ಅವಕಾಶ ನೀಡುತ್ತವೆ. ಕೀ ಅಪ್‌ಡೇಟ್ ಸಂಭವಿಸಿದಾಗ ಪೀರ್ ಆ ಟಿಕೆಟ್‌ಗಳನ್ನು ಇನ್ನೂ ಸ್ವೀಕರಿಸಿದೆ ಎಂದು ದೃಢೀಕರಿಸದಿದ್ದರೆ (acknowledged), OpenSSL ಅವುಗಳನ್ನು ತೆರವುಗೊಳಿಸಬಹುದು ಮತ್ತು ಅವುಗಳ ಮರುಪ್ರಸರಣ ಟೈಮರ್ ಅನ್ನು ನಿಲ್ಲಿಸಬಹುದು.

ಕೀ ಅಪ್‌ಡೇಟ್ ಪ್ರತ್ಯೇಕ ವಿನಿಮಯವಾಗಿದೆ. ಟಿಕೆಟ್‌ಗಳು ತಲುಪಿವೆ ಎಂದು ಇದು ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ. ಟಿಕೆಟ್ ಕಳೆದುಹೋದರೆ, ಅದನ್ನು ಎಂದಿಗೂ ಮರುಕಳುಹಿಸದಿರಬಹುದು. ಸಮಸ್ಯೆಯ ವರದಿಯು ಸ್ವೀಕೃತಿ ದೃಢೀಕರಣವಿಲ್ಲದೆ ಟಿಕೆಟ್‌ಗಳನ್ನು ತೆಗೆದುಹಾಕುವುದನ್ನು ತೋರಿಸುವ ರಿಪ್ರೊಡ್ಯೂಸರ್ ಅನ್ನು ಒಳಗೊಂಡಿದೆ.

ಶಾಶ್ವತ ಸ್ವೀಕೃತಿ ವೈಫಲ್ಯಗಳು ತಾತ್ಕಾಲಿಕವಾಗಿ ಕಾಣಿಸಬಹುದು (issue #33277)

OpenSSL ನ DTLS listener ಮೂಲಕ ರಚಿಸಲಾದ ಸಂಪರ್ಕಗಳಲ್ಲಿ, ಶಾಶ್ವತ ಸ್ವೀಕೃತಿ ವೈಫಲ್ಯವನ್ನು ಹೀಗೆ ವರದಿ ಮಾಡಬಹುದು: SSL_ERROR_WANT_READ. ಆ ಕೋಡ್ ಸಾಮಾನ್ಯವಾಗಿ "ಇನ್ನೂ ಏನೂ ಇಲ್ಲ, ಮತ್ತೆ ಪ್ರಯತ್ನಿಸಿ" ಎಂದರ್ಥ ನೀಡುತ್ತದೆ. ಅದನ್ನು ನಂಬುವ ಅಪ್ಲಿಕೇಶನ್ ನಿಷ್ಕ್ರಿಯಗೊಂಡ ಸಂಪರ್ಕದಲ್ಲಿ ಶಾಶ್ವತವಾಗಿ ಕಾಯಬಹುದು. ಪಾಲಿಂಗ್ ಮತ್ತು ನಂತರದ accept ಕರೆಗಳು ಸಹ ವಿಫಲವಾದ ಸ್ಥಿತಿಯನ್ನು ಮರೆಮಾಡಬಹುದು.

ರಿಪ್ರೊಡ್ಯೂಸರ್ DTLS 1.2 ಅನ್ನು ಒಳಗೊಂಡಿದೆ, ಆದ್ದರಿಂದ ಇದು ಕೇವಲ DTLS 1.3 ಬಳಕೆದಾರರಿಗೆ ಮಾತ್ರವಲ್ಲದೆ listener ಅನ್ನು ಬಳಸುವ ಪ್ರತಿಯೊಬ್ಬರಿಗೂ ಮುಖ್ಯವಾಗಿದೆ.

ತಾತ್ಕಾಲಿಕ ಬರವಣಿಗೆ ವೈಫಲ್ಯಗಳು ಮಾರಕವಾಗಿ (fatal) ಕಾಣಿಸಬಹುದು (issue #33278)

ಇದು ಅದರ ಪ್ರತಿಬಿಂಬವಾಗಿದೆ. listener ಮೂಲಕ ಸ್ವೀಕರಿಸಲಾದ nonblocking ಸಂಪರ್ಕಕ್ಕಾಗಿ, ಕೇವಲ ಮರುಪ್ರಯತ್ನಿಸಬೇಕಾದ ಬರವಣಿಗೆಯು ಹಿಂದಿರುಗಿಸಬಹುದು SSL_ERROR_SYSCALL ಬದಲಾಗಿ SSL_ERROR_WANT_WRITE. ಅದನ್ನು fatal ಎಂದು ಪರಿಗಣಿಸುವ ಅಪ್ಲಿಕೇಶನ್ ಇನ್ನೂ ಸರಿಯಾಗಿದ್ದ ಸಂಪರ್ಕವನ್ನು ಮುಚ್ಚಬಹುದು.

ಬೇರೊಂದು API ಪಾತ್ ಮೂಲಕ ನಿರ್ಮಿಸಲಾದ DTLS ಸರ್ವರ್ ಸರಿಯಾದ retry ಕೋಡ್ ಅನ್ನು ಹಿಂದಿರುಗಿಸಿದೆ ಎಂದು ವರದಿಯು ಕಂಡುಕೊಂಡಿದೆ. ಸಮಸ್ಯೆಯು listener-ಆಧಾರಿತ ಸಂಪರ್ಕಗಳಿಗೆ ಸಂಬಂಧಿಸಿದೆ ಮತ್ತು ಇದು DTLS 1.3 ಗೆ ಮಾತ್ರ ಸೀಮಿತವಾಗಿಲ್ಲ.

ಮಾನ್ಯವಾದ ಸ್ವೀಕೃತಿಗಳು (acknowledgements) ಹ್ಯಾಂಡ್‌ಶೇಕ್‌ಗಳನ್ನು ರದ್ದುಗೊಳಿಸಬಹುದು (issue #33242)

ಕ್ಲೈಂಟ್ ಸರ್ವರ್‌ನ ಮೊದಲ ಹ್ಯಾಂಡ್‌ಶೇಕ್ ಸಂದೇಶಗಳ ಬ್ಯಾಚ್‌ನ ಭಾಗವನ್ನು ಮಾತ್ರ ಸ್ವೀಕರಿಸಿದಾಗ, ಅದು ತಲುಪಿದ ದಾಖಲೆಗಳನ್ನು ದೃಢೀಕರಿಸಬಹುದು (acknowledge). ಸರ್ವರ್ ಆಗಿ OpenSSL 4.1.0 ಆ ಸ್ವೀಕೃತಿಗೆ ಒಂದು unexpected_message ಅಲರ್ಟ್‌ನೊಂದಿಗೆ ಉತ್ತರಿಸಿ ಹ್ಯಾಂಡ್‌ಶೇಕ್ ಅನ್ನು ಕೊನೆಗೊಳಿಸಬಹುದು.

ಇಲ್ಲಿರುವ ಮೋಸದ ಸಂಗತಿ: OpenSSL ಕ್ಲೈಂಟ್ ಆ ಸ್ವೀಕೃತಿಗಳನ್ನು ಹೇಗೆ ನಿರ್ವಹಿಸುತ್ತದೆ ಎಂಬ ಕಾರಣದಿಂದಾಗಿ, OpenSSL-ಟು-OpenSSL ಪರೀಕ್ಷೆಗಳು ಇದನ್ನು ಪ್ರಚೋದಿಸುವುದಿಲ್ಲ. ನಿಯೋಜನೆಯು ಪ್ರತಿಯೊಂದು ಆಂತರಿಕ ಪರೀಕ್ಷೆಯಲ್ಲೂ ಉತ್ತೀರ್ಣವಾಗಬಹುದು ಮತ್ತು ನಷ್ಟವಿರುವ ನೆಟ್‌ವರ್ಕ್‌ನಲ್ಲಿ ಮತ್ತೊಂದು ಕ್ಲೈಂಟ್ ಲೈಬ್ರರಿಯೊಂದಿಗೆ ವಿಫಲವಾಗಬಹುದು.

GREASE: ಪ್ರೋಟೋಕಾಲ್ ಅನ್ನು ಹೊಂದಿಕೊಳ್ಳುವಂತೆ (flexible) ಇಡುವುದು

GREASE ಎಂದರೆ Generate Random Extensions And Sustain Extensibility, ಇದನ್ನು RFC 8701 ರಲ್ಲಿ ವಿವರಿಸಲಾಗಿದೆ.

TLS ಪ್ರತಿಯೊಂದು ಬದಿಗೆ ತಾನು ಏನನ್ನು ಬೆಂಬಲಿಸುತ್ತದೆ ಎಂಬುದನ್ನು ತಿಳಿಸಲು ಅನುಮತಿಸುತ್ತದೆ, ಮತ್ತು ಇನ್ನೊಂದು ಬದಿಯು ತನಗೆ ಅರ್ಥವಾಗುವ ಆಯ್ಕೆಗಳನ್ನು ಆರಿಸಿಕೊಳ್ಳುತ್ತದೆ. ಸಾಫ್ಟ್‌ವೇರ್ ತನಗೆ ಗುರುತಿಸಲಾಗದ ಮೌಲ್ಯಗಳನ್ನು ನಿರ್ಲಕ್ಷಿಸಿದರೆ ಮಾತ್ರ ಅದು ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತದೆ. ಕೆಲವು ಅನುಷ್ಠಾನಗಳು ಪರಿಚಯವಿಲ್ಲದ ಯಾವುದನ್ನಾದರೂ ತಿರಸ್ಕರಿಸುತ್ತವೆ, ಇದು ನಂತರ ಪ್ರೋಟೋಕಾಲ್‌ಗೆ ಹೊಸ ವೈಶಿಷ್ಟ್ಯಗಳನ್ನು ಸೇರಿಸುವುದನ್ನು ಕಷ್ಟಕರವಾಗಿಸುತ್ತದೆ.

GREASE ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಕಾಯ್ದಿರಿಸಿದ, ಅರ್ಥಹೀನ ಮೌಲ್ಯಗಳನ್ನು ಕಳುಹಿಸುತ್ತದೆ. ಸರಿಯಾದ ಪೀರ್ ಅವುಗಳನ್ನು ನಿರ್ಲಕ್ಷಿಸುತ್ತದೆ. ದೋಷಪೂರಿತ ಪೀರ್ ನೈಜ ಹೊಸ ವಿಸ್ತರಣೆಯು ಆ ಸಹಿಷ್ಣುತೆಯನ್ನು ಅವಲಂಬಿಸಿರುವ ವರ್ಷಗಳ ನಂತರದ ಬದಲು, ಪರೀಕ್ಷೆಯ ಸಮಯದಲ್ಲಿ ಮೊದಲೇ ವಿಫಲಗೊಳ್ಳುತ್ತದೆ. ಆಪರೇಟರ್‌ಗಳಿಗೆ, ದೀರ್ಘಕಾಲೀನ ಹೊಂದಾಣಿಕೆಯು ಮುಖ್ಯ ಉದ್ದೇಶವಾಗಿದೆ. ನಿಮ್ಮ ಎಂಡ್‌ಪಾಯಿಂಟ್‌ಗಳು, ಲೋಡ್ ಬ್ಯಾಲೆನ್ಸರ್‌ಗಳು ಮತ್ತು ತಪಾಸಣಾ ಸಾಧನಗಳು, ವಿಶೇಷವಾಗಿ ಹಳೆಯವುಗಳು ಹೊಂದಿಕೊಳ್ಳುತ್ತವೆ ಎಂಬುದನ್ನು ಪರಿಶೀಲಿಸಿ.

ವೇಗವಾದ ಕ್ರಿಪ್ಟೋಗ್ರಫಿ ಮತ್ತು ಬಿಲ್ಡ್ ಬದಲಾವಣೆಗಳು

ಈ ಬಿಡುಗಡೆಯು ಕಾರ್ಯಕ್ಷಮತೆಯ ಕೆಲಸಗಳನ್ನು ಸಹ ತರುತ್ತದೆ:

• ppc64le ನಲ್ಲಿ ML-DSA ಮತ್ತು ML-KEM ಆಪ್ಟಿಮೈಸೇಶನ್‌ಗಳು (ಇವು ಪೋಸ್ಟ್-ಕ್ವಾಂಟಮ್ ಸಿಗ್ನೇಚರ್ ಮತ್ತು ಕೀ-ಎಕ್ಸ್‌ಚೇಂಜ್ ಅಲ್ಗಾರಿದಮ್‌ಗಳಾಗಿವೆ).
• x86_64 ನಲ್ಲಿ ML-DSA ಸುಧಾರಣೆಗಳು, ಇದರಲ್ಲಿ AVX-512-ವೇಗವರ್ಧಿತ SHAKE ಸೇರಿದೆ.
• AES-CBC ಡಿಕ್ರಿಪ್ಶನ್‌ಗಾಗಿ AVX-512 ಮತ್ತು VAES ಆಪ್ಟಿಮೈಸೇಶನ್‌ಗಳು.
• ಹೊಸ IKEv2 ಕೀ-ಡಿರೈವೇಶನ್ ಫಂಕ್ಷನ್ ಮತ್ತು ಆರಂಭಿಕ Elbrus2000 ಆರ್ಕಿಟೆಕ್ಚರ್ ಬೆಂಬಲ.

ಗಮನಿಸಬೇಕಾದ ಬಿಲ್ಡ್ ಬದಲಾವಣೆಗಳು:

• ಹೊಸ MSVC 2013 ಟಾರ್ಗೆಟ್‌ಗಳು.
• Windows-on-Itanium ಮತ್ತು Windows CE targets ತೆಗೆದುಹಾಕಲಾಗಿದೆ.
• The no-ecdsa ಮತ್ತು no-ecdh ಆಯ್ಕೆಗಳನ್ನು ತೆಗೆದುಹಾಕಲಾಗಿದೆ. ಆ ಅನುಷ್ಠಾನಗಳನ್ನು ಅವು ಎಂದಿಗೂ ವಾಸ್ತವವಾಗಿ ನಿಷ್ಕ್ರಿಯಗೊಳಿಸಿರಲಿಲ್ಲ ಎಂದು ಪ್ರಾಜೆಕ್ಟ್ ವಿವರಿಸುತ್ತದೆ. ಎಲಿಪ್ಟಿಕ್-ಕರ್ವ್ ಬೆಂಬಲವನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸಲು, ಬಳಸಿ no-ec.
• The tsget ಯುಟಿಲಿಟಿಯು ಈಗ ಇದರ ಮೇಲೆ ಅವಲಂಬಿತವಾಗಿದೆ: Net::Curl::Easy.

ವೇಗವಾದ ಪ್ರಿಮಿಟಿವ್ ಎಂದರೆ ವೇಗವಾದ ಅಪ್ಲಿಕೇಶನ್ ಎಂದರ್ಥವಲ್ಲ. ಕೇವಲ ಮೈಕ್ರೋ-ಬೆಂಚ್‌ಮಾರ್ಕ್‌ಗಳೊಂದಿಗೆ ಮಾತ್ರವಲ್ಲದೆ, ನೈಜ ಸಂಪರ್ಕ ಮಾದರಿಗಳು ಮತ್ತು ಕೆಲಸದ ಹೊರೆಗಳೊಂದಿಗೆ ಅಳೆಯಿರಿ.

ಬೆಂಬಲ ದಿನಾಂಕಗಳು ನಿರ್ಧಾರವನ್ನು ರೂಪಿಸುತ್ತವೆ

OpenSSL ಪ್ರಾಜೆಕ್ಟ್ ಈ ಅಪ್‌ಸ್ಟ್ರೀಮ್ ಬೆಂಬಲ ದಿನಾಂಕಗಳನ್ನು ಪಟ್ಟಿ ಮಾಡುತ್ತದೆ:

ಸರಣಿ	ಇಲ್ಲಿಯವರೆಗೆ ಬೆಂಬಲಿತವಾಗಿದೆ
OpenSSL 4.1	ನವೆಂಬರ್ 2027
OpenSSL 4.0	14 ಮೇ 2027
OpenSSL 3.6	1 ನವೆಂಬರ್ 2026
OpenSSL 3.5 LTS	8 ಏಪ್ರಿಲ್ 2030

ಆದ್ದರಿಂದ ಹೊಸ ಬಿಡುಗಡೆಯು 3.5 LTS ಗಿಂತ ಕಡಿಮೆ ನಿರ್ವಹಣಾ ಅವಧಿಯನ್ನು ಹೊಂದಿದೆ. 3.6 ಬೆಂಬಲವು ಈಗಷ್ಟೇ ಕೊನೆಗೊಳ್ಳುತ್ತದೆ ಎಂಬುದನ್ನು ಗಮನಿಸಿ. ಅಲ್ಲದೆ ನಿಮ್ಮ ಆಪರೇಟಿಂಗ್ ಸಿಸ್ಟಮ್ ಅಥವಾ ಉತ್ಪನ್ನ ಮಾರಾಟಗಾರರು ಏನನ್ನು ಬೆಂಬಲಿಸುತ್ತಾರೆ ಎಂಬುದನ್ನು ಪರಿಶೀಲಿಸಿ, ಏಕೆಂದರೆ ಪ್ಯಾಕೇಜ್ ಮಾಡಲಾದ OpenSSL ಹೆಚ್ಚಾಗಿ ಮಾರಾಟಗಾರರ ವೇಳಾಪಟ್ಟಿಯನ್ನು ಅನುಸರಿಸುತ್ತದೆ, ಅಪ್‌ಸ್ಟ್ರೀಮ್‌ನ ವೇಳಾಪಟ್ಟಿಯನ್ನಲ್ಲ.

OpenSSL 4.1.0 ಅನ್ನು ಸುರಕ್ಷಿತವಾಗಿ ಮೌಲ್ಯಮಾಪನ ಮಾಡುವುದು ಹೇಗೆ

ಹಂತ 1: ನಿಮಗೆ ಇದು ಅಗತ್ಯವಿದೆಯೇ ಎಂದು ನಿರ್ಧರಿಸಿ

DTLS 1.3 ಅನ್ನು ಬಳಸುವ ಅಪ್ಲಿಕೇಶನ್‌ಗಳು, DTLS listener ಬಳಸುವ ಅಪ್ಲಿಕೇಶನ್‌ಗಳು ಮತ್ತು ದೀರ್ಘ ಬೆಂಬಲದ ಬದ್ಧತೆ ಅಗತ್ಯವಿರುವ ಅಪ್ಲಿಕೇಶನ್‌ಗಳನ್ನು ಪಟ್ಟಿ ಮಾಡಿ. ಯಾರಿಗೂ ಹೊಸ ವೈಶಿಷ್ಟ್ಯಗಳ ಅಗತ್ಯವಿಲ್ಲದಿದ್ದರೆ, 3.5 LTS ನಲ್ಲೇ ಉಳಿಯುವುದು ಸಮಂಜಸವಾದ ಆಯ್ಕೆಯಾಗಿದೆ.

ಹಂತ 2: ನೀವು ಯಾವ ಬಿಲ್ಡ್ ಅನ್ನು ಪರೀಕ್ಷಿಸುತ್ತಿದ್ದೀರಿ ಎಂಬುದನ್ನು ಖಚಿತಪಡಿಸಿಕೊಳ್ಳಿ

ಪರೀಕ್ಷಾ ಬಿಲ್ಡ್ ಅನ್ನು ಪ್ರತ್ಯೇಕ ಪರಿಸರದಲ್ಲಿ ಚಲಾಯಿಸಿ, ಉತ್ಪಾದನೆಯಲ್ಲಿ ನೇರವಾಗಿ ಎಂದಿಗೂ ಚಲಾಯಿಸಬೇಡಿ, ಮತ್ತು ಅದರ ಆವೃತ್ತಿ ಹಾಗೂ ಬಿಲ್ಡ್ ಆಯ್ಕೆಗಳನ್ನು ಖಚಿತಪಡಿಸಿಕೊಳ್ಳಿ:

openssl version -a

ಹಂತ 3: ಕೇವಲ ಕ್ಲೀನ್ ನೆಟ್‌ವರ್ಕ್‌ನಲ್ಲಿ ಮಾತ್ರವಲ್ಲದೆ, ಪ್ಯಾಕೆಟ್ ನಷ್ಟದ ಅಡಿಯಲ್ಲಿ ಪರೀಕ್ಷಿಸಿ

Linux ಪರೀಕ್ಷಾ ಯಂತ್ರದಲ್ಲಿ, ನೀವು ಲೂಪ್‌ಬ್ಯಾಕ್ ಇಂಟರ್ಫೇಸ್‌ಗೆ ಕೃತಕ ನಷ್ಟ ಮತ್ತು ವಿಳಂಬವನ್ನು ಇದರೊಂದಿಗೆ ಸೇರಿಸಬಹುದು: netem, ಅದರ ವಿರುದ್ಧ ನಿಮ್ಮ DTLS ಕ್ಲೈಂಟ್ ಮತ್ತು ಸರ್ವರ್ ಅನ್ನು ಚಲಾಯಿಸಿ, ನಂತರ ನಿಯಮವನ್ನು ತೆಗೆದುಹಾಕಿ:

sudo tc qdisc add dev lo root netem loss 5% delay 50ms
# run your DTLS client/server tests here
sudo tc qdisc del dev lo root

ಮೊದಲ ಸಂಪರ್ಕದ ಜೊತೆಗೆ ಹ್ಯಾಂಡ್‌ಶೇಕ್ ನಂತರದ ನಡವಳಿಕೆಯನ್ನು (ಸೆಷನ್ ಟಿಕೆಟ್‌ಗಳು, ಕೀ ಅಪ್‌ಡೇಟ್‌ಗಳು) ಗಮನಿಸಿ.

ಹಂತ 4: ಇತರ ಅನುಷ್ಠಾನಗಳ ವಿರುದ್ಧ ಪರೀಕ್ಷಿಸಿ

issue #33242 OpenSSL-ಟು-OpenSSL ಪರೀಕ್ಷೆಗಳಲ್ಲಿ ಕಾಣಿಸದಿರುವುದರಿಂದ, ಪ್ಯಾಕೆಟ್ ನಷ್ಟದ ಅಡಿಯಲ್ಲಿ ನಿಮ್ಮ ಸರ್ವರ್‌ಗೆ ಕನಿಷ್ಠ ಒಂದು OpenSSL-ಅಲ್ಲದ DTLS ಕ್ಲೈಂಟ್ ಅನ್ನು ಸಂಪರ್ಕಿಸಿ.

ಹಂತ 5: ನಿಮ್ಮ ದೋಷ ನಿರ್ವಹಣೆಯನ್ನು ಪರಿಶೀಲಿಸಿ

ನೀವು DTLS listener ಬಳಸುತ್ತಿದ್ದರೆ, ನಿಮ್ಮ ಕೋಡ್ ಇದಕ್ಕೆ ಹೇಗೆ ಪ್ರತಿಕ್ರಿಯಿಸುತ್ತದೆ ಎಂಬುದನ್ನು ಪರಿಶೀಲಿಸಿ: SSL_ERROR_WANT_READ, SSL_ERROR_WANT_WRITE ಮತ್ತು SSL_ERROR_SYSCALL. ಟೈಮ್‌ಔಟ್‌ಗಳನ್ನು ಸೇರಿಸಿ, ಇದರಿಂದ ಎಂದಿಗೂ ಯಶಸ್ವಿಯಾಗದ "ಮತ್ತೆ ಪ್ರಯತ್ನಿಸಿ" ಸಂಪರ್ಕವನ್ನು ಶಾಶ್ವತವಾಗಿ ಸ್ಥಗಿತಗೊಳಿಸಲು ಸಾಧ್ಯವಿಲ್ಲ.

ಹಂತ 6: ಪ್ರಾಮಾಣಿಕವಾಗಿ ಬೆಂಚ್‌ಮಾರ್ಕ್ ಮಾಡಿ ಮತ್ತು ಮರುನಿರ್ಮಿಸಿ

ನಿಮ್ಮ ನೈಜ ಹಾರ್ಡ್‌ವೇರ್‌ನಲ್ಲಿ ನಿಮ್ಮ ನೈಜ ಕೆಲಸದ ಹೊರೆಯನ್ನು ಬೆಂಚ್‌ಮಾರ್ಕ್ ಮಾಡಿ. ನಿಮ್ಮ ಬಿಲ್ಡ್ ಪೈಪ್‌ಲೈನ್ ಅನ್ನು ಮರು-ಚಲಾಯಿಸಿ ಮತ್ತು ಈ ರೀತಿಯ ಆಯ್ಕೆಗಳು no-ec ನೀವು ನಿರೀಕ್ಷಿಸುವ ಕಾನ್ಫಿಗರೇಶನ್ ಅನ್ನು ಉತ್ಪಾದಿಸುತ್ತವೆ ಎಂದು ಖಚಿತಪಡಿಸಿಕೊಳ್ಳಿ.

ತೀರ್ಮಾನ

OpenSSL 4.1.0 ಒಂದು ಅರ್ಥಪೂರ್ಣ ವೈಶಿಷ್ಟ್ಯ ಬಿಡುಗಡೆಯಾಗಿದೆ. DTLS 1.3 ಮತ್ತು GREASE ಡೇಟಾಗ್ರಾಮ್ ಸುರಕ್ಷತೆ ಹಾಗೂ ಭವಿಷ್ಯದ ಹೊಂದಾಣಿಕೆಯನ್ನು ಬಲಪಡಿಸುತ್ತವೆ, ಮತ್ತು ಹೊಸ ಆಪ್ಟಿಮೈಸೇಶನ್‌ಗಳು ಬೆಂಬಲಿತ ಹಾರ್ಡ್‌ವೇರ್‌ನಲ್ಲಿ ಪೋಸ್ಟ್-ಕ್ವಾಂಟಮ್ ಮತ್ತು AES ಕಾರ್ಯಗಳನ್ನು ವೇಗಗೊಳಿಸಬಹುದು. ಆದರೆ ಅಳವಡಿಕೆಯು ಕೇವಲ ಹೊಸ ಲೈಬ್ರರಿಯನ್ನು ಅಳವಡಿಸಿ ಅಪ್ಲಿಕೇಶನ್ ಪ್ರಾರಂಭವಾಗುವುದನ್ನು ನೋಡುವುದಕ್ಕಿಂತ ಹೆಚ್ಚಿನದಾಗಿದೆ. ನಾಲ್ಕು ತಿಳಿದಿರುವ DTLS ಸಮಸ್ಯೆಗಳು ನಿಮಗೆ ನಿರ್ದಿಷ್ಟ ಪರೀಕ್ಷಾ ಪ್ರಕರಣಗಳನ್ನು ನೀಡುತ್ತವೆ, ಬೆಂಬಲದ ಅವಧಿಯು ಕಡಿಮೆಯಾಗಿದೆ, ಮತ್ತು ನೈಜ ಪುರಾವೆಯು ಪರಸ್ಪರ ಕಾರ್ಯಸಾಧ್ಯತೆ, ವೈಫಲ್ಯ-ಚೇತರಿಕೆ ಮತ್ತು ಕೆಲಸದ ಹೊರೆಯ ಪರೀಕ್ಷೆಯಿಂದ ಬರುತ್ತದೆ.

ಅನುಕೂಲಗಳು

• DTLS 1.3 UDP ಟ್ರಾಫಿಕ್‌ಗೆ TLS 1.3-ಯುಗದ ರಕ್ಷಣೆಯನ್ನು ತರುತ್ತದೆ.
• ಭವಿಷ್ಯದ ವಿಸ್ತರಣೆಗಳನ್ನು ಮುರಿಯುವ ಮುನ್ನವೇ ದುರ್ಬಲ ಪೀರ್‌ಗಳನ್ನು ಪತ್ತೆಹಚ್ಚಲು GREASE ಸಹಾಯ ಮಾಡುತ್ತದೆ.
• ಬೆಂಬಲಿತ CPU ಗಳಲ್ಲಿ ವೇಗವಾದ ML-DSA, ML-KEM ಮತ್ತು AES-CBC ಕೋಡ್ ಪಾತ್‌ಗಳು.
• ಸ್ವಚ್ಛವಾದ ಬಿಲ್ಡ್ ಆಯ್ಕೆಗಳು: ದಾರಿತಪ್ಪಿಸುವ no-ecdsa ಮತ್ತು no-ecdh ಫ್ಲ್ಯಾಗ್‌ಗಳನ್ನು ತೆಗೆದುಹಾಕಲಾಗಿದೆ.
• ತಿಳಿದಿರುವ ಸಮಸ್ಯೆಗಳನ್ನು ರಿಪ್ರೊಡ್ಯೂಸರ್‌ಗಳೊಂದಿಗೆ ಮುಕ್ತವಾಗಿ ದಾಖಲಿಸಲಾಗಿದೆ.

ಅನನುಕೂಲಗಳು

• ಬೆಂಬಲವು ನವೆಂಬರ್ 2027 ರಲ್ಲಿ ಕೊನೆಗೊಳ್ಳುತ್ತದೆ, ಇದು 3.5 LTS ಗಿಂತ ಬಹಳ ಮುಂಚಿತವಾಗಿದೆ.
• ನಾಲ್ಕು ತಿಳಿದಿರುವ DTLS ಸಮಸ್ಯೆಗಳು ಮರುಪ್ರಸರಣ, ದೋಷ ವರದಿ ಮಾಡುವಿಕೆ ಮತ್ತು ಹ್ಯಾಂಡ್‌ಶೇಕ್‌ಗಳ ಮೇಲೆ ಪರಿಣಾಮ ಬೀರುತ್ತವೆ.
• ಎರಡು listener ಸಮಸ್ಯೆಗಳು DTLS 1.2 ಬಳಕೆದಾರರ ಮೇಲೂ ಪರಿಣಾಮ ಬೀರುತ್ತವೆ.
• ಬಿಲ್ಡ್ ಬದಲಾವಣೆಗಳು ಅಸ್ತಿತ್ವದಲ್ಲಿರುವ ಸ್ಕ್ರಿಪ್ಟ್‌ಗಳು ಅಥವಾ ಟಾರ್ಗೆಟ್‌ಗಳನ್ನು ಮುರಿಯಬಹುದು.
• ಕಾರ್ಯಕ್ಷಮತೆಯ ಹೆಚ್ಚಳವು ನಿರ್ದಿಷ್ಟ ಹಾರ್ಡ್‌ವೇರ್ ಮೇಲೆ ಅವಲಂಬಿತವಾಗಿರುತ್ತದೆ ಮತ್ತು ಅಪ್ಲಿಕೇಶನ್ ಮಟ್ಟವನ್ನು ತಲುಪದೇ ಇರಬಹುದು.

ಎಚ್ಚರಿಕೆ

ಈ ಲೇಖನವು ಶೈಕ್ಷಣಿಕ ಉದ್ದೇಶದ್ದಾಗಿದೆ ಮತ್ತು ಸಾರ್ವಜನಿಕವಾಗಿ ವಿವರಿಸಲಾದ OpenSSL 4.1.0 ಬಿಡುಗಡೆಯನ್ನು ಸಾರಾಂಶಗೊಳಿಸುತ್ತದೆ; ಇದು ಅಧಿಕೃತ OpenSSL ದಾಖಲೆಯಲ್ಲ. ಕಮಾಂಡ್‌ಗಳು ಪ್ರತ್ಯೇಕ ಪರೀಕ್ಷಾ ಯಂತ್ರಕ್ಕಾಗಿ ಉದಾಹರಣೆಗಳಾಗಿವೆ ಮತ್ತು ನಿಮ್ಮ ಸ್ವಂತ ಪರಿಸರ, ಇಂಟರ್ಫೇಸ್ ಹೆಸರುಗಳು ಮತ್ತು ಪರೀಕ್ಷಾ ಕಾರ್ಯಕ್ರಮಗಳಿಗೆ ಅಳವಡಿಸಿಕೊಳ್ಳಬೇಕು. ಸಮಸ್ಯೆಯ ವಿವರಗಳು ಮತ್ತು ಬೆಂಬಲ ದಿನಾಂಕಗಳು ಬದಲಾಗಬಹುದು, ಆದ್ದರಿಂದ ಅದನ್ನು ಅವಲಂಬಿಸುವ ಮೊದಲು ಅಧಿಕೃತ OpenSSL ಬಿಡುಗಡೆ ಟಿಪ್ಪಣಿಗಳು, ಇಶ್ಯೂ ಟ್ರ್ಯಾಕರ್ ಮತ್ತು ನಿಮ್ಮ ಮಾರಾಟಗಾರರ ಸಲಹೆಗಳ ವಿರುದ್ಧ ಪ್ರತಿಯೊಂದು ಹೇಳಿಕೆಯನ್ನು ಪರಿಶೀಲಿಸಿ.

ಪದೇ ಪದೇ ಕೇಳಲಾಗುವ ಪ್ರಶ್ನೆಗಳು

• OpenSSL 4.1.0 ನಲ್ಲಿ ಹೊಸತೇನಿದೆ? — ಇದು DTLS 1.3, GREASE, ML-DSA, ML-KEM ಮತ್ತು AES-CBC ಆಪ್ಟಿಮೈಸೇಶನ್‌ಗಳು, IKEv2 ಕೀ-ಡಿರೈವೇಶನ್ ಫಂಕ್ಷನ್ ಮತ್ತು ಹಲವಾರು ಬಿಲ್ಡ್ ಬದಲಾವಣೆಗಳನ್ನು ಸೇರಿಸುತ್ತದೆ.
• DTLS 1.3 ಎಂದರೇನು? — ಇದು RFC 9147 ರಲ್ಲಿ ವ್ಯಾಖ್ಯಾನಿಸಲಾದ TLS 1.3 ನ ಡೇಟಾಗ್ರಾಮ್ ಆವೃತ್ತಿಯಾಗಿದೆ, ಇದು UDP ಯಲ್ಲಿನ ಟ್ರಾಫಿಕ್ ಅನ್ನು ಎನ್‌ಕ್ರಿಪ್ಟ್ ಮಾಡುತ್ತದೆ ಮತ್ತು ರಕ್ಷಿಸುತ್ತದೆ.
• ನಾಲ್ಕು DTLS ತಿಳಿದಿರುವ ಸಮಸ್ಯೆಗಳು ಭದ್ರತಾ ದುರ್ಬಲತೆಗಳೇ? — ಪ್ರಕಟಣೆಯು ಅವುಗಳನ್ನು ಸಂಪರ್ಕದ ನಡವಳಿಕೆ ಮತ್ತು ವಿಶ್ವಾಸಾರ್ಹತೆಯ ಸಮಸ್ಯೆಗಳೆಂದು ವಿವರಿಸುತ್ತದೆ, ನಿರ್ಣಾಯಕ ದುರ್ಬಲತೆಗಳಲ್ಲ, ಮತ್ತು ಯಾವುದೇ ಸಕ್ರಿಯ ದುರುಪಯೋಗವನ್ನು ವರದಿ ಮಾಡುವುದಿಲ್ಲ.
• ತಿಳಿದಿರುವ ಸಮಸ್ಯೆಗಳು DTLS 1.2 ಮೇಲೆ ಪರಿಣಾಮ ಬೀರುತ್ತವೆಯೇ? — ಹೌದು, ಎರಡು listener ದೋಷ-ವರದಿ ಸಮಸ್ಯೆಗಳು (#33277 ಮತ್ತು #33278) DTLS 1.3 ಗೆ ಮಾತ್ರ ಸೀಮಿತವಾಗಿಲ್ಲ.
• TLS ನಲ್ಲಿ GREASE ಏನು ಮಾಡುತ್ತದೆ? — ಇದು ಕಾಯ್ದಿರಿಸಿದ ಯಾದೃಚ್ಛಿಕ ಮೌಲ್ಯಗಳನ್ನು ಕಳುಹಿಸುತ್ತದೆ, ಇದರಿಂದಾಗಿ ಅಪರಿಚಿತ ವಿಸ್ತರಣೆಗಳನ್ನು ತಪ್ಪಾಗಿ ತಿರಸ್ಕರಿಸುವ ಪೀರ್‌ಗಳನ್ನು ಮೊದಲೇ ಕಂಡುಹಿಡಿಯಲಾಗುತ್ತದೆ, ಇದು ಪ್ರೋಟೋಕಾಲ್ ಅನ್ನು ವಿಸ್ತರಿಸಬಹುದಾದಂತೆ ಇರಿಸುತ್ತದೆ.
• OpenSSL 4.1 ಎಷ್ಟು ಸಮಯದವರೆಗೆ ಬೆಂಬಲಿತವಾಗಿದೆ? — ಅಪ್‌ಸ್ಟ್ರೀಮ್ ಬೆಂಬಲವು ನವೆಂಬರ್ 2027 ರವರೆಗೆ ಇರುತ್ತದೆ, ಆದರೆ OpenSSL 3.5 LTS ಅನ್ನು 8 ಏಪ್ರಿಲ್ 2030 ರವರೆಗೆ ಬೆಂಬಲಿಸಲಾಗುತ್ತದೆ.
• ನಾನು OpenSSL 3.5 LTS ನಿಂದ 4.1 ಗೆ ಅಪ್‌ಗ್ರೇಡ್ ಮಾಡಬೇಕೇ? — ನಿಮಗೆ ಅದರ ಹೊಸ ವೈಶಿಷ್ಟ್ಯಗಳು ಅಗತ್ಯವಿದ್ದರೆ ಮತ್ತು ಅವುಗಳನ್ನು ಚೆನ್ನಾಗಿ ಪರೀಕ್ಷಿಸಲು ಸಾಧ್ಯವಾದರೆ ಮಾತ್ರ; ಇಲ್ಲದಿದ್ದರೆ 3.5 LTS ಹೆಚ್ಚು ದೀರ್ಘಾವಧಿಯ ಬೆಂಬಲವನ್ನು ನೀಡುತ್ತದೆ.
• OpenSSL ಬಿಲ್ಡ್‌ನಲ್ಲಿ ಎಲಿಪ್ಟಿಕ್-ಕರ್ವ್ ಬೆಂಬಲವನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವುದು ಹೇಗೆ? — ಈ ಆಯ್ಕೆಯನ್ನು ಬಳಸಿ: no-ec ; ತೆಗೆದುಹಾಕಲಾದ no-ecdsa ಮತ್ತು no-ecdh ಆಯ್ಕೆಗಳು ಆ ಅನುಷ್ಠಾನಗಳನ್ನು ವಾಸ್ತವವಾಗಿ ಎಂದಿಗೂ ನಿಷ್ಕ್ರಿಯಗೊಳಿಸಿರಲಿಲ್ಲ.

ಟ್ಯಾಗ್‌ಗಳು

#OpenSSL #DTLS13 #TLS #Cryptography #PostQuantum #NetworkSecurity #CyberSecurity #DevSecOps #UDP #InfoSec