Sysop: + Nový VIDEO článek

2014-04-16T09:50:54Z

+ Nový VIDEO článek

Nová stránka

'''OpenSSL''' je v [[Informatika|informatice]] [[Otevřený software|open source]] implementace protokolů [[Secure Sockets Layer|SSL]] a [[Transport Layer Security|TLS]]. Poskytuje knihovny napsané v [[C (programovací jazyk)|jazyce C]], které zahrnují základní [[Kryptografie|kryptografické]] funkce. OpenSSL knihovny lze pomocí speciálních „wrapperů“ (mezivrstva pro přizpůsobení) využívat v různých [[Programovací jazyk|programovacích jazycích]].

OpenSSL je k dispozici pro [[UN*X|unixové]] operační systémy ([[Solaris]], [[Linux]], [[OS X|Mac OS X]] a operační systémy [[BSD]]), [[OpenVMS]] a [[Microsoft Windows]]. IBM poskytuje port pro System i (iSeries/AS400). OpenSSL je založeno na '''SSLeay''', které bylo vyvinuto Erikem A. Youngem a Timem Hudsonem, jehož vývoj byl oficiálně ukončen v prosinci 1998, když oba vývojáři přestoupili do projektu [[RSA Security]].

==Algoritmy==
OpenSSL podporuje mnoho různých [[Kryptografie|kryptografických]] [[Algoritmus|algoritmů]].

;[[Šifra|Šifry]]
: [[Blowfish]], [[Camellia]], [[Data Encryption Standard|DES]], [[RC2]], [[RC4]], [[RC5]], [[International Data Encryption Algorithm|IDEA]], [[Advanced Encryption Standard|AES]]
; [[Kryptografická hashovací funkce]]:
: [[MD5]], [[MD2]], [[Secure Hash Algorithm|SHA]], [[MDC-2]]
; [[Asymetrická kryptografie]]:
: [[RSA]], [[Digital Signature Algorithm|DSA]], [[Diffie-Hellman]], [[Elliptic curve cryptography|Elliptic curve]]

== Soulad s FIPS 140-2 ==
OpenSSL se stal prvním [[Otevřený software|open source softwarem]], u kterého bylo ověřeno, že splňuje standard [[FIPS 140-2]], který vydala organizace NIST ([[National Institute of Standards and Technology's Cryptographic Module Validation Program]]). Certifikát byl udělen v lednu roku 2006 a následně byl odebrán v červenci téhož roku. Později došlo ještě ke změnám certifikátu v důsledku nejasností kolem použití modulů a jejich interakce s okolním softwarem, avšak certifikát byl ponechán.<ref>[http://www.gcn.com/online/vol1_no1/43142-1.html NIST recertifies open source encryption module]</ref>

==Licence knihoven==
OpenSSL je vydáván pod „duální licenci“ (''OpenSSL License'' a ''SSLeay license''). Dvojí licence znamená, že
uživatel má možnost si vybrat, podle které licence se bude řídit, avšak dokumentace OpenSSL knihoven tento pojem užívá ve smyslu platnosti obou licencí.

==Známé bezpečnostní chyby==

===Implementační chyba u Debianu===
Při úpravě OpenSSL knihoven pro [[Debian]] vznikl vážný bezpečnostní problém, který byl odhalen v květnu 2008.<ref>[http://www.linux.com/feature/135270 Linux.com: Security Alert: Debian OpenSSL flaw affects many systems, May 15, 2008; retrieved 6/8/2008]</ref> Problém postihl všechny distribuce založené na Debianu, tj. také [[Linuxová distribuce|distribuce]] [[Ubuntu]], [[Kubuntu]] a další. Zmíněná chyba se týkala generování [[Šifrovací klíč|šifrovacích klíčů]], kde byla radikálně omezená [[entropie]] [[Generátor pseudonáhodných čísel|generátoru náhodných čísel]], takže byly generovány lehce předvídatelné klíče.

Problém vznikl snahou o zlepšení možností [[Ladění (software)|ladění programů]], které OpenSSL knihovny využívají.<ref name="deb">[http://wiki.debian.org/SSLkeys#head-76415d1c2f25f12ebbcc99bb93959a97f18e3b88 SSLKeys - Debian Wiki]</ref> Byla odstraněna část kódu, která generovala chybová hlášení při použití nástroje [[Valgrind]] kvůli použití neinicializované [[Operační paměť|paměti]]. Neinicializovaná paměť neslouží v OpenSSL ke generování entropie, avšak odstraněním dvou řádků kódu<ref>[http://svn.debian.org/viewsvn/pkg-openssl/openssl/trunk/rand/md_rand.c?rev=141&r1=140&r2=141 Debian SVN diff]</ref> bylo vyřazeno získání entropie ze zdroje [[/dev/random|/dev/urandom]], takže generátor náhodných čísel vycházel pouze z čísla procesu (což je velmi málo).<ref>[http://www.grc.com/sn/SN-146.htm Security Now Episode #146, Steve Gibson, Gibson Research Corporation. MP3 audio retrieved 6/1/2008]</ref> Změna byla schválena vývojáři OpenSSL,<ref name="approve">[http://marc.info/?l=openssl-dev&m=114652287210110&w=2]</ref> avšak pouze pro ladění.<ref>[http://lwn.net/Articles/282038/ Debian, OpenSSL, and a lack of cooperation]</ref>

Knihovny OpenSSL tak generovaly pouze 215 různých šifrovacích klíčů pro každou architekturu (např. i386) místo 2128 klíčů, což znamenalo velice silné omezení. K dispozici jsou nástroje,<ref>[http://www.metasploit.com/users/hdm/tools/debian-openssl/ MetaSploit]</ref> které toto omezení dokáží využít. Bezpečnostní problém již vývojáři Debianu opravili, to ale zcela neřeší celý problém. Všechny klíče, které byly vygenerovány knihovnami nebo nástroji 'openssl', 'ssh-keygen' a 'openvpn --keygen' je nutné vygenerovat znovu, což se týká i poskytovatelů klíčů pro OpenID.<ref>[http://www.identityblog.com/?p=1004 IdentityBlog Crypto Flaw + Bad Practices = need for governance]</ref> Seznam zasažených programů je možné najít na wiki Debianu<ref>[http://wiki.debian.org/SSLkeys SSLkeys - Debian wiki]</ref> (nástroje používající GnuPG a [[GnuTLS]] nejsou zasaženy).<ref name="deb" />

===Heartbleed===
Dne 7. dubna 2014 byla zveřejněna závažná chyba v implementaci rozšíření „Heartbeat“<ref>RFC 6520 (''Transport Layer Security (TLS) and Datagram Transport Layer Security (DTLS) Heartbeat Extension'')</ref> protokolu [[TLS]], která postihovala všechny verze OpenSSL 1.0.1 a [[betaverze|betaverzi]] OpenSSL 1.0.2-beta; současně s oznámením byly vydány opravené verze 1.0.1g a 1.0.2-beta2.<ref>[https://www.openssl.org/news/secadv_20140407.txt OpenSSL Security Advisory (07 Apr 2014)]</ref> Chyba v OpenSSL existovala od 31. prosince 2011 a zranitelné verze se od vydání OpenSSL 1.0.1 v březnu 2012 používaly na velkém množství serverů.<ref>[[Dan Goodin]]: [http://arstechnica.com/security/2014/04/critical-crypto-bug-in-openssl-opens-two-thirds-of-the-web-to-eavesdropping/ Critical crypto bug in OpenSSL opens two-thirds of the Web to eavesdropping], ''[[Ars Technica]]''</ref> Chyba využívá rozšíření protokolu TLS/DTLS, zvané ''heartbeat'' (RFC6520) – doslova „tlukot srdce“, které zjišťuje, zda protistrana „žije“; kvůli tomu byla chyba označena ironickou přezdívkou „Heartbleed“ (doslova „krvácení srdce“).<ref>[http://heartbleed.com/ ''The Heartbleed Bug'']</ref>

Díky chybě mohl útočník každým dotazem získat až 64 KB aplikační paměti serveru. V takto přečtené paměti se potenciálně mohou nacházet bezpečnostně citlivá data jako [[soukromý klíč]] serveru, jehož získání by útočníkům umožnilo se [[man in the middle|za server vydávat]], případně dešifrovat dříve [[odposlouchávání|zachycenou]] komunikaci (pokud server nepoužíval šifry s [[dopředná bezpečnost|dopřednou bezpečností]]), případně fragmenty uživatelských dat, dřívějších požadavků a odpovědí včetně hesel a bezpečnostních [[cookie]], díky čemu by útočník mohl převzít přístup nad uživatelskými účty. Odhaduje se, že v okamžiku zveřejnění bylo útokem potenciálně ohroženo asi půl milionu serverů.<ref>Mutton, Paul: [http://news.netcraft.com/archives/2014/04/08/half-a-million-widely-trusted-websites-vulnerable-to-heartbleed-bug.html ''Half a million widely trusted websites vulnerable to Heartbleed bug'']. Netcraft Ltd</ref>

== Vydané verze ==
* OpenSSL 1.0.1 vydáno 14. března 2012
* OpenSSL 1.0.0 vydáno 29. března 2010
* OpenSSL 0.9.8 vydáno 5. července 2005
* OpenSSL 0.9.7 vydáno 31. prosince 2002
* OpenSSL 0.9.6 vydáno 25. září 2000
* OpenSSL 0.9.5 vydáno 28. února 2000
* OpenSSL 0.9.4 vydáno 9. srpna 1999
* OpenSSL 0.9.3 vydáno 25. května 1999

== YouTube ==
{| border="4" width="442" align="left"
| {{#widget:YouTube|id=m4_pR7SJfh0}}
|- align="center"
| '''Encrypting Files with OpenSSL- BASH - Linux'''
|}
{| border="4" width="442" align="right"
| {{#widget:YouTube|id=w8IxN3lEAuU}}
|- align="center"
| '''OpenSSL Heartbleed Vulnerability and its High-Level Mechanics'''
|}
 

== Související články ==
* [[Transport Layer Security]]
== Reference ==
<references />
== Externí odkazy ==
* [http://www.openssl.org/ Oficiální stránka projektu OpenSSL]

{{Článek z Wikipedie}}
[[Kategorie:Kryptografický software]]
[[Kategorie:Svobodný software]]
[[Kategorie:Video články Multimediaexpo.cz]]

OpenSSL - Historie editací

Sysop: + Nový VIDEO článek