1.  
  2.  
  3.  
  4.  
Zurück
Login

Gibt es eigentlich noch eine ernsthafte Alternative zu OpenSSL?

23. März 2015 | Lars Ewald | erschienen in IT-Security | qurl: http://l9e.de/895
Jetzt, da wo das eigentlich sonst so sicher geglaubte PolarSSL an einen englischen Großkonzern, ARM, verkauft wurde, bei dem der GCHQ bestimmt täglich ein und ausgeht. Dadurch hat sich in meinen Augen eine einst sehr ernstzunehmende Alternative zu OpenSSL verabschiedet. Natürlich kann man jetzt sagen, es gibt ja nun LibreSSL. Aber will man wirklich einen OpenSSL-Fork einsetzen, der sicherlich eine deutlich kleinere Community hat und wohl vor einer unlösbaren Lebensaufgabe steht? Außerdem kann man hoffen, dass nach Heartbleed alle Augen auf OpenSSL gerichtet sind, zumal sich beim OpenSSL-Projekt mittlerweile in finanzieller als auch in personeller Hinsicht sehr viel getan hat. So baut das gesamte Projekt nicht mehr nur auf eine Person auf, sondern ist auf mehrere Köpfe verteilt, die auch aktiv am Code mitwirken. Das macht es dann natürlich deutlich schwieriger, eine Backdoor zu verstecken.


Kommentare lesen

Denis
Avatar
25.03.2015
Es gibt noch die Network Security Services von Mozilla. Leider scheitern viele OpenSSL-Alternativen einfach daran, dass sie in der Praxis kaum unterstützt werden. Ein paar Programme wie Apache oder OpenVPN sind mittlerweile zwar recht flexibel, aber z. B. nginx oder Postfix funktionieren ausschließlich mit OpenSSL.

Auch mit Sprachanbindungen sieht es eher schlecht aus. Ich hätte PolarSSL gerne benutzt, aber als ich beim besten Willen keine vernünftige Ruby-Extension finden konnte, bin ich eben doch wieder bei OpenSSL gelandet.

Bei LibreSSL wäre ich auch eher vorsichtig. Der Ansatz ist sicherlich gut, und kaum jemand zweifelt an der Kompetenz der OpenBSD-Entwickler. Aber für den Produktiveinsatz ist das Projekt dann vielleicht doch ein bisschen zu jung und radikal.


25.03.2015
Und nicht zu vergessen, dass der NSS-Bibliothek einige entscheidene Features (DHE-RSA auf Serverseite z.B.) fehlen.

http://en.wikipedia.org/wiki/Comparison_of_TLS_implementations

Kommentar verfassen

Name:

E-Mail (nicht veröffentlicht):

Webseite (optional):

Kommentar:





Sicherheitscode:
 
Hinweis:
[code lang=(PHP/JAVA/...)]...[/code] wird nach dem Abschicken mit einem Syntax-Highlighter versehen.
 
 
 
© Lars Ewald 2015
Kontakt | Impressum