OpenSSL 4.1 ya está disponible como nueva versión de la biblioteca criptográfica utilizada por numerosas aplicaciones, servicios y distribuciones GNU/Linux. Entre sus principales novedades destacan el soporte para DTLS 1.3, las optimizaciones para algoritmos poscuánticos y nuevas funciones orientadas a mejorar la compatibilidad con protocolos de red.

Publicado el 23 de octubre de 2026, este lanzamiento continúa la evolución de la serie 4.x. Sus cambios interesan especialmente a desarrolladores, administradores de servidores y responsables de mantener aplicaciones que utilizan TLS y otros protocolos de seguridad. Aunque muchas novedades funcionan en segundo plano, contribuyen a proteger las conexiones, autenticar sistemas y asegurar el intercambio de datos.

DTLS 1.3 llega a OpenSSL 4.1

La novedad más destacada es la incorporación de soporte para DTLS 1.3, definido en el estándar RFC 9147. Este protocolo adapta los mecanismos de seguridad de TLS a transportes basados en datagramas, como UDP, donde los paquetes pueden perderse, llegar desordenados o requerir retransmisiones.

DTLS resulta útil para aplicaciones que necesitan comunicaciones cifradas sin recurrir a una conexión TCP convencional, incluidos ciertos servicios en tiempo real y sistemas de baja latencia. La versión 1.3 mejora el establecimiento de conexiones y el tratamiento de mensajes, con el objetivo de reducir la sobrecarga y reforzar la seguridad.

OpenSSL 4.1 también incorpora soporte DTLS en su API de escucha SSL. Esta interfaz permite gestionar conexiones entrantes mediante una API adaptada al protocolo. Los desarrolladores disponen así de nuevas herramientas para integrar DTLS 1.3 sin tener que implementar por su cuenta los mecanismos criptográficos subyacentes.

La implementación todavía tiene limitaciones documentadas por el proyecto. Por ello, quienes desarrollen servidores DTLS deberían revisar las notas de publicación y probar sus aplicaciones antes de desplegar la nueva versión en producción.

Más optimizaciones para la criptografía poscuántica

OpenSSL 4.1 sigue mejorando el rendimiento de algoritmos diseñados para resistir ataques de ordenadores cuánticos suficientemente avanzados. Entre los cambios se incluyen operaciones optimizadas para ML-DSA y ML-KEM, algoritmos estandarizados por el NIST para firmas digitales y establecimiento de claves, respectivamente.

Las mejoras abarcan operaciones NTT optimizadas para ML-DSA y ML-KEM en sistemas ppc64le, además de optimizaciones de ML-DSA para x86-64. En procesadores compatibles, también se incorporan operaciones SHAKE x4 aceleradas mediante AVX-512 y mejoras con AVX-512 y VAES para el descifrado AES-CBC.

Estas optimizaciones pretenden reducir el coste computacional de ciertas operaciones criptográficas. El beneficio concreto dependerá del procesador, de las instrucciones disponibles y de los algoritmos que utilice cada aplicación.

Compatibilidad con GREASE e IKEv2

Otra novedad es la compatibilidad con GREASE, un mecanismo definido en el RFC 8701 que permite enviar valores reservados aparentemente desconocidos durante las negociaciones de protocolos. Su propósito es detectar implementaciones que gestionan incorrectamente las extensiones que no reconocen y favorecer la interoperabilidad del ecosistema TLS.

La versión añade asimismo soporte para IKEv2 KDF, una función de derivación de claves relacionada con IKEv2, protocolo utilizado para establecer asociaciones de seguridad en redes IPsec. También incorpora soporte inicial para la arquitectura Elbrus2000 (e2k), ampliando las plataformas para las que se puede preparar la biblioteca.

Cambios para desarrolladores y sistemas Linux

Antes de actualizar, conviene revisar varias modificaciones. La herramienta tsget, utilizada para interactuar con servicios de sellado de tiempo, pasa a utilizar Net::Curl::Easy en lugar de la biblioteca abandonada WWW::Curl::Easy. Quienes dependan de esta herramienta deben instalar la nueva dependencia de Perl.

También se eliminan los objetivos de compilación para Windows sobre Itanium y Windows CE. Por otra parte, se añaden objetivos para Microsoft Visual C++ 2013 que ayudan a cubrir determinadas carencias de compatibilidad con C99 de ese compilador.

OpenSSL 4.1 elimina las opciones de configuración no-ecdsa y no-ecdh, ya que no deshabilitaban realmente las implementaciones correspondientes. Para desactivar el soporte de curvas elípticas se debe utilizar no-ec.

En Linux, estos cambios afectan principalmente a quienes compilan OpenSSL manualmente, mantienen paquetes o desarrollan software que depende directamente de sus bibliotecas. La publicación de esta versión no implica que todas las distribuciones vayan a sustituir de inmediato la versión incluida en sus sistemas.

Descarga y soporte de OpenSSL 4.1

El código fuente de OpenSSL 4.1.0 está disponible en la página oficial del proyecto. Esta rama no es una versión LTS y su soporte está previsto hasta noviembre de 2027. Según la hoja de ruta, la siguiente versión LTS, OpenSSL 4.2, está prevista para abril de 2027.

Antes de actualizar manualmente, los administradores deberían comprobar qué versión proporciona su distribución. Numerosas aplicaciones dependen de OpenSSL y pueden estar vinculadas a una versión concreta del sistema.

El código fuente, las sumas de comprobación y los detalles de cada rama pueden consultarse en la página oficial de descargas de OpenSSL. La lista completa de novedades está disponible en el anuncio de OpenSSL 4.1.0 en GitHub.

from Linux Adictos https://ift.tt/s817uEO
via IFTTT