OpenSSL: differenze tra le versioni

Versione delle 10:29, 11 apr 2014

Versione delle 14:02, 12 apr 2014

Riga 17:

|SitoWeb = [https://www.openssl.org www.openssl.org]

}}

'''OpenSSL''' è un'[[implementazione]] ''[[open source]]'' dei protocolli [[Transport Layer Security|SSL]] e [[Transport Layer Security|TLS]]. Le librerie di base (scritte in [[linguaggio C]]) eseguono le funzioni [[Crittografia|crittografiche]] principali. Nei diversi [[Linguaggio di programmazione|linguaggi di programmazione]] sono disponibili procedure che permettono di accedere alle funzioni della libreria OpenSSL.

Nei diversi [[Linguaggio di programmazione|linguaggi di programmazione]] sono disponibili procedure che permettono di accedere alle funzioni della libreria OpenSSL.

È disponibile per la maggior parte dei [[Sistema Operativo|sistemi operativi]] ''[[unix-like]]'', inclusi [[GNU/Linux]] e [[Mac OS X]], ed anche per [[Microsoft Windows]].

OpenSSL è originariamente basato sulle librerie ''SSLeay'' di Eric Young e Tim Hudson.

ÈOriginariamente basato sulle librerie ''SSLeay'' di Eric Young e Tim Hudson, è disponibile per la maggior parte dei [[Sistema Operativo|sistemi operativi]] ''[[unix-like]]'', inclusi [[GNU/Linux]] e [[Mac OS X]], ed anche per [[Microsoft Windows]].

== Versioni principali ==

*OpenSSL 0.9.3 rilasciata il 25 maggio [[1999]]

*OpenSSL 0.9.4 rilasciata il 9 agosto [[1999]]

*OpenSSL 0.9.5 rilasciata il 28 febbraio [[2000]]

*OpenSSL 0.9.6 rilasciata il 25 settembre [[2000]]

*OpenSSL 0.9.7 rilasciata il 31 dicembre [[2002]]

*OpenSSL 0.9.8 rilasciata il 5 luglio [[2005]]

*OpenSSL 1.0.0 rilasciata il 29 marzo [[2010]]

*OpenSSL 1.0.1 rilasciata il 14 marzo [[2012]]

== Caratteristiche ==

==Algoritmi implementati==

'''OpenSSL''' supporta diversi algoritmi crittografici:

Line 50 ⟶ 42:

:[[X.509]]

=== Conformità allo standard FIPS ===

Negli [[Stati Uniti d'America|Stati Uniti]] l'''[http://www.oss-institute.org/ Open Source Software Institute]'', un'organizzazione senza fini di lucro formata da rappresentanti del governo, dell'industria e del mondo accademico allo scopo di promuovere l'adozione dei programmi ''open source'' nelle università e negli enti governativi, sta tentando di far ottenere a OpenSSL la conformità ''FIPS 140-2'' (''[[Federal Information Processing Standard]] FIPS Publication 140-2''), uno standard per la [[sicurezza informatica]] usato per certificare i programmi [[Crittografia|crittografici]].

=== Licenza ===

OpenSSL utilizza un sistema ''dual-license'' (doppia [[Licenza (informatica)|licenza]]), la ''OpenSSL License'' e la ''SSleay License''. Normalmente in un sistema a doppia licenza è possibile scegliere quale delle due licenze adottare; nel caso della OpenSSL occorre seguire entrambe. La licenza risultante è simile a quella di [[Apache HTTP Server|Apache]].

La licenza richiede che la frase ''"This product includes software developed by the OpenSSL Project for use in the OpenSSL Toolkit"'' appaia come clausola pubblicitaria, che la rendono incompatibile con la licenza [[GNU General Public License|GPL]]. Non è ben chiaro se la OpenSSL rientri nella eccezione della GPL riguardo alle librerie di sistema. Alcuni autori preferiscono inserire una esplicita [[GPL linking exception]] per permettere l'utilizzo della OpenSSL nel loro software. Altri hanno preferito sostituirla con la [[GnuTLS]].

== BugI di sicurezza Debianbugs ==

=== Debian ===

Il 13 maggio 2008 è stato scoperto un grave problema di sicurezza nel pacchetto '''OpenSSL''' di [[Debian]] [[GNU/Linux]]. La versione implementata in [[Debian]], [[Ubuntu]] e altre distribuzioni derivate generava infatti chiavi vulnerabili. Una correzione risalente al settembre 2006, infatti, aveva eliminato il codice che utilizzava parti della memoria non inizializzate per aumentare l'[[entropia]] del generatore di chiavi, utilizzando come valore variabile solo il numero del processo. Questa modifica aveva ridotto il numero di chiavi generabili da 2¹⁰²⁴ o 2²⁰⁴⁸ a solo 2¹⁵, quindi ad appena 32768 valori possibili.

Questo bug è stato rapidamente corretto ma tutte le chiavi generate su sistemi Debian e derivati nel frattempo andrebbero rigenerate.

=== Heartbleed Bug ===

[[File:Heartbleed.svg|thumb|140px|Logo convenzionale del bug Heartbleed]]

Il bug scoperto nella versione 1.0.1f da un gruppo di ricercatori del team [[Codenomicon]] permette ad un malintenzionato di accedere in chiaro a tutti i dati criptati inviati dall'utente, senza lasciare alcuna traccia. Si valuta che oltre il 66% dei siti Web sia vulnerabile all'attacco.<ref>{{Cita news|autore=|url=http://www.repubblica.it/tecnologia/2014/04/09/news/internet_falla_in_openssl_heartbleed_mette_a_rischio_la_sicurezza_di_password_e_carte_di_credito-83101437/|titolo=Internet, falla in OpenSSL: 'Heartbleed' mette a rischio password e carte di credito in due terzi dei siti web|pubblicazione=La Repubblica|giorno=9|mese=aprile |anno=2014|accesso=10 aprile 2014}}</ref><ref>[http://www.webnews.it/2014/04/09/openssl-vulnerabilita/?ref=post ''OpenSSL: la madre di tutte le vulnerabilità'' da webnews.it, 9 aprile 2014]</ref>

== VersioniCronoogia dei rilasci principali ==

*OpenSSL 0.9.3 rilasciata il 25 maggio [[1999]]

*OpenSSL 0.9.4 rilasciata il 9 agosto [[1999]]

*OpenSSL 0.9.5 rilasciata il 28 febbraio [[2000]]

*OpenSSL 0.9.6 rilasciata il 25 settembre [[2000]]

*OpenSSL 0.9.7 rilasciata il 31 dicembre [[2002]]

*OpenSSL 0.9.8 rilasciata il 5 luglio [[2005]]

*OpenSSL 1.0.0 rilasciata il 29 marzo [[2010]]

*OpenSSL 1.0.1 rilasciata il 14 marzo [[2012]]

== Alternative ==

Line 72 ⟶ 75:

== Note ==

<references/>

==Voci correlate==

* [[Protocollo di rete]]

* [[Transport Layer Security]]

== Collegamenti esterni ==

Line 82 ⟶ 89:

* {{en}} [http://heartbleed.com/ The Heartbleed Bug]

{{Portale|crittografia|informatica|Sicurezza informatica}}

[[Categoria:Tecniche di difesa informatica]]