Sortie d’OpenSSL 3.0

• Grand saut de version depuis 1.1.1, avec adoption d’un nouveau schéma de versioning

• Si cela fonctionne correctement avec les versions précédentes, l’adoption devrait être possible avec une simple recompilation (à l’exception des avertissements deprecated)

• Nouvelle licence sous Apache 2.0

→ auparavant, double licence OpenSSL et SSLeay

• Ajout du concept de Provider, avec 5 Providers standard fournis

→ Default : tous les algorithmes implémentés en interne

→ Legacy : algorithmes comme MD2, DES, qui ne sont plus beaucoup utilisés ou ne sont plus recommandés

→ FIPS : sous-ensemble d’algorithmes conforme au standard FIPS (FIPS140-2)

→ Base : sous-ensemble des algorithmes non cryptographiques de Default

→ Null : Provider sans implémentation d’algorithmes. Sert à empêcher l’utilisation des Providers par défaut

• L’utilisation de la Low Level API est déconseillée (avertissement à la compilation) : elle sera supprimée dans une future version

[xguru]

Le contenu des licences OpenSSL et SSLeay existantes

https://docs.microsoft.com/ko-kr/gaming/…

Comme cette licence était un peu différente des licences open source habituelles, cela posait des problèmes lors de la redistribution, mais elle est enfin passée sous licence Apache.

On parlait déjà de ce changement depuis plusieurs années. https://zdnet.co.kr/view/?no=20170330175652

La raison pour laquelle ils sont passés directement à la 3.0 sans version 2.0, c’est que le module OpenSSL FIPS existant utilisait la version 2.0.0, d’après

https://www.openssl.org/blog/blog/2018/11/28/version/