OpenSSL, la libreria crittografica che protegge gran parte delle connessioni su internet, ha appena rilasciato la versione 4.0.0. Non si tratta di un semplice aggiornamento di routine, ma di un cambiamento strutturale che modifica regole consolidate ed elimina anni di codice obsoleto.

Privacy nella navigazione

La novità più significativa riguarda la protezione dei dati durante la navigazione. Con il supporto nativo a Encrypted Client Hello, abbreviato in ECH, cambia il modo in cui viene gestita l’informazione iniziale di una connessione sicura.

// affiliato ▸ Infomaniak Hosting · Hosting web svizzero per chi tiene alla privacy · Inizia ora →

Quando ci si collega a un sito protetto, il nome del dominio rimane visibile nella fase iniziale dello scambio di dati, anche se il contenuto successivo è cifrato. Questo permette a chi osserva la rete di sapere quali siti vengono visitati. ECH risolve proprio questo problema, cifrando fin dall’inizio quell’informazione sensibile. Si tratta di un’evoluzione rispetto al precedente tentativo ESNI, con un approccio più completo e affidabile.

Pulizia del codice

Il rilascio fa anche una pulizia importante nel codice sorgente. Scompaiono protocolli vecchi e insicuri come SSLv3, che era già disabilitato di default dal 2016 ma ancora presente nel codice. Viene eliminato anche il supporto al Client Hello di SSLv2.

Vengono rimosse curve ellittiche deprecate e il vecchio sistema degli engine, sostituito da tempo dai provider moderni. Per gli sviluppatori ci sono diverse modifiche alle firme delle funzioni API, quindi chi ha software basato su OpenSSL dovrà verificare attentamente la compatibilità prima di aggiornare.

Crittografia per il futuro

Sulla sicurezza a lungo termine, la versione 4.0 introduce il gruppo ibrido post-quantum curveSM2MLKEM768. Si tratta di un primo passo verso algoritmi pensati per resistere alla potenza di calcolo dei futuri computer quantistici.

Arrivano anche nuove funzioni di derivazione delle chiavi per i protocolli SNMP e SRTP, e il supporto allo scambio di chiavi FFDHE negoziato in TLS 1.2. OpenSSL 4.0.0 sarà supportata fino al 14 maggio 2027.

Per gli utenti finali l’impatto diretto è limitato, ma per chi amministra server o sviluppa software che dipende da questa libreria è il momento di pianificare la transizione con attenzione.