Resumen:
El proyecto de software de cifrado de código abierto LibreSSL lanzó la versión oficial 4.4.0 el 22 de octubre de 2026. Esta es la primera versión estable de la serie 4.4.x y también se incluye con OpenBSD 8.0. La nueva versión trae una serie de correcciones de seguridad, mejoras de rendimiento y actualizaciones de compatibilidad de plataforma, enfocándose en eliminar el certificado raíz eMudhra con riesgos de seguridad, optimizar la eficiencia de ejecución del algoritmo SHA-3 y solucionar múltiples problemas en el procesamiento de certificados TLS, DTLS y X.509.
Más información:
https://www.libressl.org/
LibreSSL, lanzado originalmente por el proyecto OpenBSD, es una biblioteca de software de comunicación cifrada que se centra en la seguridad y la simplicidad del código. Se deriva del código OpenSSL, pero durante el proceso de desarrollo, algunas interfaces antiguas y funciones complejas se eliminan gradualmente, y se realizan ajustes continuos en materia de seguridad, mantenibilidad y protocolos de cifrado modernos. LibreSSL no sólo proporciona la base de cifrado para OpenBSD, sino que también tiene una versión portátil que puede ejecutarse en varios sistemas operativos como Linux, FreeBSD, NetBSD, macOS y Windows.Uno de los cambios más importantes en la versión 4.4.0 es el ajuste del conjunto de certificados raíz de confianza predeterminado. El equipo de desarrollo eliminó el certificado raíz emSign ECC Root CA - G3 de eMudhra del archivo de certificado cert.pem predeterminado porque algunas autoridades de certificación de nivel inferior en el sistema de certificados usaban claves con fuerza insuficiente. Por motivos de compatibilidad, los desarrolladores también agregaron certificados intermedios no afectados.
Este ajuste involucra el mecanismo de confianza del certificado en las conexiones HTTPS. Los navegadores, los sistemas operativos y el software de cifrado suelen utilizar certificados raíz confiables para determinar si un certificado de sitio web es emitido por una organización confiable. Si un sistema de certificados tiene problemas de seguridad, como una clave insuficiente, los atacantes pueden aprovechar las debilidades para intentar falsificar certificados o eludir algunas comprobaciones de confianza. Por lo tanto, eliminar los certificados raíz riesgosos puede ayudar a reducir los riesgos de seguridad relacionados.
El equipo de desarrollo le recuerda especialmente que debe verificar el archivo de certificado local al actualizar. Dado que los archivos cert.pem, openssl.cnf y x509v3.cnf existentes ya no se sobrescriben automáticamente al reinstalar LibreSSL, es posible que los usuarios necesiten verificar y fusionar manualmente los cambios de certificados si el administrador de paquetes no maneja automáticamente la fusión de configuraciones. El equipo de desarrollo recomienda confirmar que la entrada del certificado raíz "CN=emSign ECC Root CA - G3" ya no está incluida en cert.pem.
En términos de rendimiento, LibreSSL 4.4.0 mejora la implementación del algoritmo SHA-3 y adopta métodos de optimización como bucles desenrollados y procesamiento entrelazado para mejorar la eficiencia de ejecución de los cálculos relacionados. SHA-3 es un algoritmo hash criptográfico que se puede utilizar para verificar la integridad de los datos, firmas digitales y otros protocolos de seguridad. Esta mejora está dirigida principalmente a la propia implementación del algoritmo. La mejora real del rendimiento se verá afectada por la arquitectura del procesador, el compilador y la carga de trabajo específica.
La nueva versión también mejora la compilación y la compatibilidad del tiempo de ejecución en múltiples plataformas. En el lado de macOS, se solucionó el problema con la función de red netcat (nc) y se agregó soporte de compilación para macOS 27.0. En el entorno de Windows, el equipo de desarrollo solucionó algunos problemas en el compilador MSVC, incluido el optimizador ARM64 que generaba códigos de error en códigos aritméticos enteros grandes en tiempo constante, y también mejoró las conexiones de red, la lectura y escritura de archivos y la sincronización de subprocesos en la capa de compatibilidad de Windows.
Para Linux y otros sistemas similares a Unix, la nueva versión mejora el soporte de ensamblaje SHA en la plataforma AArch64 y agrega o mejora configuraciones de implementación de ensamblaje para RISC-V, MIPS y otras arquitecturas. Además, el sistema de compilación CMake ahora utilizará opciones de mitigación de seguridad del compilador y del vinculador consistentes con el método de compilación Autotools, lo que hará que el software generado por diferentes procesos de compilación sea más consistente en términos de refuerzo de seguridad.
LibreSSL 4.4.0 también contiene una serie de correcciones en términos de implementación de protocolos TLS y DTLS. El equipo de desarrollo mejoró la lógica de procesamiento del servidor TLS 1.3 cuando ambas partes no tienen un grupo criptográfico mutuamente compatible y corrigió algunos problemas en el proceso de intercambio. Las mejoras relacionadas con DTLS implican el procesamiento de mensajes de protocolo de enlace, el registro de números de secuencia y colas de datos, con el objetivo de mejorar la confiabilidad de la conexión y la coherencia del procesamiento del protocolo.
La verificación del certificado X.509 es otra área importante de actualización. La nueva versión soluciona problemas con la resolución de nombres de host URI en las restricciones de nombres de certificados, incluido el manejo correcto de los literales de direcciones IPv6 y la prevención de que la información de usuario especialmente creada pase por alto las comprobaciones de nombres de host. Además, el equipo de desarrollo también mejoró la lógica, como la verificación de la cadena de certificados, la dirección de correo electrónico y la verificación del nombre del sujeto para reducir aún más los riesgos de seguridad en el proceso de análisis y verificación de certificados.
LibreSSL 4.4.0 también corrige varios defectos que pueden causar problemas de seguridad de la memoria, incluidas escrituras y lecturas fuera de límites, accesos a punteros nulos y liberación incorrecta de memoria en algunos buffers. El equipo de desarrollo también ajustó el mecanismo de manejo de errores de algunas operaciones de cifrado para evitar que el programa continúe usando datos que no se han inicializado correctamente después de una falla.
En términos de compatibilidad, la nueva versión ajusta el grupo de intercambio de claves preferido de TLS 1.3 en libtls a X25519MLKEM768. La combinación combina el tradicional intercambio de claves de curva elíptica X25519 con el mecanismo de encapsulación de claves poscuántica ML-KEM, con el objetivo de proporcionar capacidades de seguridad cuántica preparadas para el futuro para conexiones TLS. Esto no significa que todas las aplicaciones que usan LibreSSL habilitarán automáticamente la misma configuración; el comportamiento específico aún depende de cómo la aplicación llama a libtls y su configuración de conexión.
Además, el equipo de desarrollo desaprobó una interfaz de cadena de certificados con un nombre engañoso, tls_peer_cert_chain_pem(), y recomendó que los desarrolladores utilicen interfaces como tls_peer_cert_chain_verified_pem() o tls_peer_cert_bundle_unverified_pem() para distinguir más claramente entre los datos de la cadena de certificados verificados y no verificados. El proyecto también continúa limpiando el código antiguo, eliminando la lógica de procesamiento de protocolos y las interfaces heredadas que ya no son necesarias.
El proyecto LibreSSL declaró que la nueva versión continúa con el objetivo de mejorar continuamente la seguridad, confiabilidad y portabilidad del código, y da la bienvenida a la comunidad para continuar enviando comentarios y sugerencias de mejora. Para los mantenedores de sistemas y desarrolladores de software, 4.4.0 no es solo una actualización de la versión regular, sino que también contiene cambios de confianza en los certificados y correcciones de seguridad que requieren atención.
En general, el objetivo de LibreSSL 4.4.0 no es introducir un nuevo algoritmo de cifrado, sino fortalecer aún más la infraestructura de cifrado existente, optimizar el rendimiento de los algoritmos utilizados habitualmente y mejorar la compatibilidad en diferentes sistemas operativos y arquitecturas de procesador. Para proyectos de software que dependen de LibreSSL para establecer conexiones TLS, verificar certificados o procesar datos cifrados, debe verificar la compatibilidad de la interfaz y la configuración del certificado local antes de actualizar, y organizar las pruebas y la implementación de acuerdo con su propio entorno.
Comentarios