Hlasujte, prosím, pro Aby bylo jasno v soutěži Podcast roku !Letos společně vyhrajeme ! Děkujeme ! OpenSSL Z Multimediaexpo.cz stránky OpenSSL Nemáte oprávnění „upravit tuto stránku“. Důvod: Požadovanou činnost smějí provádět jen uživatelé ve skupinách Automaticky schválení uživatelé, RCRedaktors. Můžete si prohlédnout a zkopírovat zdrojový kód této stránky: '''OpenSSL''' je v [[Informatika|informatice]] [[Otevřený software|open source]] implementace protokolů [[Secure Sockets Layer|SSL]] a [[Transport Layer Security|TLS]]. Poskytuje knihovny napsané v [[C (programovací jazyk)|jazyce C]], které zahrnují základní [[Kryptografie|kryptografické]] funkce. OpenSSL knihovny lze pomocí speciálních „wrapperů“ (mezivrstva pro přizpůsobení) využívat v různých [[Programovací jazyk|programovacích jazycích]]. OpenSSL je k dispozici pro [[UN*X|unixové]] operační systémy ([[Solaris]], [[Linux]], [[OS X|Mac OS X]] a operační systémy [[BSD]]), [[OpenVMS]] a [[Microsoft Windows]]. IBM poskytuje port pro System i (iSeries/AS400). OpenSSL je založeno na '''SSLeay''', které bylo vyvinuto Erikem A. Youngem a Timem Hudsonem, jehož vývoj byl oficiálně ukončen v prosinci 1998, když oba vývojáři přestoupili do projektu [[RSA Security]]. ==Algoritmy== OpenSSL podporuje mnoho různých [[Kryptografie|kryptografických]] [[Algoritmus|algoritmů]]. ;[[Šifra|Šifry]] : [[Blowfish]], [[Camellia]], [[Data Encryption Standard|DES]], [[RC2]], [[RC4]], [[RC5]], [[International Data Encryption Algorithm|IDEA]], [[Advanced Encryption Standard|AES]] ; [[Kryptografická hashovací funkce]]: : [[MD5]], [[MD2]], [[Secure Hash Algorithm|SHA]], [[MDC-2]] ; [[Asymetrická kryptografie]]: : [[RSA]], [[Digital Signature Algorithm|DSA]], [[Diffie-Hellman]], [[Elliptic curve cryptography|Elliptic curve]] == Soulad s FIPS 140-2 == OpenSSL se stal prvním [[Otevřený software|open source softwarem]], u kterého bylo ověřeno, že splňuje standard [[FIPS 140-2]], který vydala organizace NIST ([[National Institute of Standards and Technology's Cryptographic Module Validation Program]]). Certifikát byl udělen v lednu roku 2006 a následně byl odebrán v červenci téhož roku. Později došlo ještě ke změnám certifikátu v důsledku nejasností kolem použití modulů a jejich interakce s okolním softwarem, avšak certifikát byl ponechán.<ref>[http://www.gcn.com/online/vol1_no1/43142-1.html NIST recertifies open source encryption module]</ref> ==Licence knihoven== OpenSSL je vydáván pod „duální licenci“ (''OpenSSL License'' a ''SSLeay license''). Dvojí licence znamená, že uživatel má možnost si vybrat, podle které licence se bude řídit, avšak dokumentace OpenSSL knihoven tento pojem užívá ve smyslu platnosti obou licencí. ==Známé bezpečnostní chyby== ===Implementační chyba u Debianu=== Při úpravě OpenSSL knihoven pro [[Debian]] vznikl vážný bezpečnostní problém, který byl odhalen v květnu 2008.<ref>[http://www.linux.com/feature/135270 Linux.com: Security Alert: Debian OpenSSL flaw affects many systems, May 15, 2008; retrieved 6/8/2008]</ref> Problém postihl všechny distribuce založené na Debianu, tj. také [[Linuxová distribuce|distribuce]] [[Ubuntu]], [[Kubuntu]] a další. Zmíněná chyba se týkala generování [[Šifrovací klíč|šifrovacích klíčů]], kde byla radikálně omezená [[entropie]] [[Generátor pseudonáhodných čísel|generátoru náhodných čísel]], takže byly generovány lehce předvídatelné klíče. Problém vznikl snahou o zlepšení možností [[Ladění (software)|ladění programů]], které OpenSSL knihovny využívají.<ref name="deb">[http://wiki.debian.org/SSLkeys#head-76415d1c2f25f12ebbcc99bb93959a97f18e3b88 SSLKeys - Debian Wiki]</ref> Byla odstraněna část kódu, která generovala chybová hlášení při použití nástroje [[Valgrind]] kvůli použití neinicializované [[Operační paměť|paměti]]. Neinicializovaná paměť neslouží v OpenSSL ke generování entropie, avšak odstraněním dvou řádků kódu<ref>[http://svn.debian.org/viewsvn/pkg-openssl/openssl/trunk/rand/md_rand.c?rev=141&r1=140&r2=141 Debian SVN diff]</ref> bylo vyřazeno získání entropie ze zdroje [[/dev/random|/dev/urandom]], takže generátor náhodných čísel vycházel pouze z čísla procesu (což je velmi málo).<ref>[http://www.grc.com/sn/SN-146.htm Security Now Episode #146, Steve Gibson, Gibson Research Corporation. MP3 audio retrieved 6/1/2008]</ref> Změna byla schválena vývojáři OpenSSL,<ref name="approve">[http://marc.info/?l=openssl-dev&m=114652287210110&w=2]</ref> avšak pouze pro ladění.<ref>[http://lwn.net/Articles/282038/ Debian, OpenSSL, and a lack of cooperation]</ref> Knihovny OpenSSL tak generovaly pouze 2<sup>15</sup> různých šifrovacích klíčů pro každou architekturu (např. i386) místo 2<sup>128</sup> klíčů, což znamenalo velice silné omezení. K dispozici jsou nástroje,<ref>[http://www.metasploit.com/users/hdm/tools/debian-openssl/ MetaSploit]</ref> které toto omezení dokáží využít. Bezpečnostní problém již vývojáři Debianu opravili, to ale zcela neřeší celý problém. Všechny klíče, které byly vygenerovány knihovnami nebo nástroji 'openssl', 'ssh-keygen' a 'openvpn --keygen' je nutné vygenerovat znovu, což se týká i poskytovatelů klíčů pro OpenID.<ref>[http://www.identityblog.com/?p=1004 IdentityBlog Crypto Flaw + Bad Practices = need for governance]</ref> Seznam zasažených programů je možné najít na wiki Debianu<ref>[http://wiki.debian.org/SSLkeys SSLkeys - Debian wiki]</ref> (nástroje používající GnuPG a [[GnuTLS]] nejsou zasaženy).<ref name="deb" /> ===Heartbleed=== Dne 7. dubna 2014 byla zveřejněna závažná chyba v implementaci rozšíření „Heartbeat“<ref>RFC 6520 (''Transport Layer Security (TLS) and Datagram Transport Layer Security (DTLS) Heartbeat Extension'')</ref> protokolu [[TLS]], která postihovala všechny verze OpenSSL 1.0.1 a [[betaverze|betaverzi]] OpenSSL 1.0.2-beta; současně s oznámením byly vydány opravené verze 1.0.1g a 1.0.2-beta2.<ref>[https://www.openssl.org/news/secadv_20140407.txt OpenSSL Security Advisory (07 Apr 2014)]</ref> Chyba v OpenSSL existovala od 31. prosince 2011 a zranitelné verze se od vydání OpenSSL 1.0.1 v březnu 2012 používaly na velkém množství serverů.<ref>[[Dan Goodin]]: [http://arstechnica.com/security/2014/04/critical-crypto-bug-in-openssl-opens-two-thirds-of-the-web-to-eavesdropping/ Critical crypto bug in OpenSSL opens two-thirds of the Web to eavesdropping], ''[[Ars Technica]]''</ref> Chyba využívá rozšíření protokolu TLS/DTLS, zvané ''heartbeat'' (RFC6520) – doslova „tlukot srdce“, které zjišťuje, zda protistrana „žije“; kvůli tomu byla chyba označena ironickou přezdívkou „Heartbleed“ (doslova „krvácení srdce“).<ref>[http://heartbleed.com/ ''The Heartbleed Bug'']</ref> Díky chybě mohl útočník každým dotazem získat až 64 KB aplikační paměti serveru. V takto přečtené paměti se potenciálně mohou nacházet bezpečnostně citlivá data jako [[soukromý klíč]] serveru, jehož získání by útočníkům umožnilo se [[man in the middle|za server vydávat]], případně dešifrovat dříve [[odposlouchávání|zachycenou]] komunikaci (pokud server nepoužíval šifry s [[dopředná bezpečnost|dopřednou bezpečností]]), případně fragmenty uživatelských dat, dřívějších požadavků a odpovědí včetně hesel a bezpečnostních [[cookie]], díky čemu by útočník mohl převzít přístup nad uživatelskými účty. Odhaduje se, že v okamžiku zveřejnění bylo útokem potenciálně ohroženo asi půl milionu serverů.<ref>Mutton, Paul: [http://news.netcraft.com/archives/2014/04/08/half-a-million-widely-trusted-websites-vulnerable-to-heartbleed-bug.html ''Half a million widely trusted websites vulnerable to Heartbleed bug'']. Netcraft Ltd</ref> == Vydané verze == * OpenSSL 1.0.1 vydáno 14. března 2012 * OpenSSL 1.0.0 vydáno 29. března 2010 * OpenSSL 0.9.8 vydáno 5. července 2005 * OpenSSL 0.9.7 vydáno 31. prosince 2002 * OpenSSL 0.9.6 vydáno 25. září 2000 * OpenSSL 0.9.5 vydáno 28. února 2000 * OpenSSL 0.9.4 vydáno 9. srpna 1999 * OpenSSL 0.9.3 vydáno 25. května 1999 == YouTube == {| border="4" width="442" align="left" | {{#widget:YouTube|id=m4_pR7SJfh0}} |- align="center" | '''Encrypting Files with OpenSSL- BASH - Linux''' |} {| border="4" width="442" align="right" | {{#widget:YouTube|id=w8IxN3lEAuU}} |- align="center" | '''OpenSSL Heartbleed Vulnerability and its High-Level Mechanics''' |} <br style="clear: both;" /> == Související články == * [[Transport Layer Security]] == Reference == <references /> == Externí odkazy == * [http://www.openssl.org/ Oficiální stránka projektu OpenSSL] {{Článek z Wikipedie}} [[Kategorie:Kryptografický software]] [[Kategorie:Svobodný software]] [[Kategorie:Video články Multimediaexpo.cz]] Šablona použitá na této stránce: Šablona:Článek z Wikipedie (ukázat zdroj) Návrat na stránku „OpenSSL“.
