Rustls‘un 0.23.46 sürümü, Joe Birr-Pixton tarafından duyuruldu. İyi bir kriptografik güvenlik seviyesi sağlamayı amaçlayan bir TLS kütüphanesi olan Rustls, güvenliğe ulaşmak için hiçbir yapılandırma gerektirmiyor ve güvensiz özellikler sağlamıyor. Rustls‘nin yeni sürümü, dört güvenlik düzeltmesiyle yayınlanmış bulunuyor. Bu yeni Rustls kütüphane sürümündeki ilk güvenlik düzeltmesi, yerleşik ancak varsayılan olarak devre dışı bırakılmış olan Brotli sertifika sıkıştırmasının, kimlik doğrulama gerçekleşmeden önce saldırganın kontrolünde 1 GB’a kadar bellek ayırabilmesi olduğu söyleniyor. Bir diğer sorunun ise oturum hata ayıklama biçimlendirmesinin TLS ana sırlarını ve devam PSK’lerini açığa çıkarması olarak açıklanıyor. Üçüncü sorun ise kimlik doğrulaması yapılmamış bir ServerHello’nun, ad başına anahtar değişim ipuçlarını zehirlemesi ve daha sonraki ClientHello’ların yalnızca klasik bir X25519 paylaşımı taşıması olarak açıklanıyor. Bu sürümde giderilen son güvenlik sorunu, istemcinin el sıkışma tamamlanmadan önce tamponladığı uygulama verilerinin, sunucu şifreli istemci merhaba (ECH) mesajını reddetse bile sunucuya gönderilmesi biçiminde tanımlanıyor. Bu dört güvenlik düzeltmesine ek olarak, Rustls 0.23.46’ya birkaç başka hata düzeltmesi de dahil edilmiş bulunuyor. Bu sürümde giderilen hataların on üçünün, güvenlik sorunlarından ikisi de dahil olmak üzere OpenAI tarafından keşfedilmiş ve rapor edilmiş olduğu söyleniyor. Rustls 0.23.46 hakkında bilgi edinmek için GitHub sürümler sayfasını ve değişiklikleri inceleyebilirsiniz.
Tag Archives | TLS1.3
Rustls 0.23.45 duyuruldu
Rustls‘un 0.23.45 sürümü, Joe Birr-Pixton tarafından duyuruldu. İyi bir kriptografik güvenlik seviyesi sağlamayı amaçlayan bir TLS kütüphanesi olan Rustls, güvenliğe ulaşmak için hiçbir yapılandırma gerektirmiyor ve güvensiz özellikler sağlamıyor. Rustls‘nin yeni sürümü, iki yıllık güvenlik sorununu düzeltmek için yayınlanmış bulunuyor. Rustls modern TLS kütüphanesi, bellek güvenliğine odaklanılarak Rust programlama dilinde yazılmış olsa da, geçmişte diğer Rust projelerinin yeniden uygulamalarında görüldüğü gibi, yeni uygulamalar kendi güvenlik açıklarına yol açabiliyor. Rustls 0.23.45 ile 2024 yılında Rustls ile ortaya çıkan bir güvenlik sorunu düzeltilmiş oluyor. OpenSSL, BoringSSL ve diğerlerinin ise bu durumdan etkilenmediği söyleniyor. Rustls 0.23.45, TLS 1.3 el sıkışma mesajlarının şifreleme seviyesi sınırları arasında yanlış bir şekilde kabul edilen bir hatayı düzeltmek için yayınlanmış bulunuyor. Bu sorunun, Ocak ayındaki bu Go güvenlik açığına benzediği söyleniyor. Böylece, Eylül 2024’te yayınlanan v0.23.13’ten beri Rustls’da var olan hata giderilmiş oldu. Rustls 0.23.45 hakkında bilgi edinmek için GitHub sürümler sayfasını ve değişiklikleri inceleyebilirsiniz.
Rustls 0.23.44 duyuruldu
Rustls‘un 0.23.44 sürümü, Dirkjan Ochtman tarafından duyuruldu. İyi bir kriptografik güvenlik seviyesi sağlamayı amaçlayan bir TLS kütüphanesi olan Rustls, güvenliğe ulaşmak için hiçbir yapılandırma gerektirmiyor ve güvensiz özellikler sağlamıyor. Rustls‘nin, hem istemciler hem de sunucular için TLS1.2 ve TLS1.3 uyguladığı hatırlatılırken, 0,22 Rustls’tan bu yana kriptografik ilkellerin sağlayıcısını seçmenin mümkün olduğu söyleniyor. Yeni sürüm, varsayılan olarak ML-DSA sertifikaları etkinleştirilerek yayınlanmış bulunuyor. Rustls 0.23.44; varsayılan olarak kuantum sonrası güvenli ML-DSA sertifikalarını etkinleştiriyor. Rustls 0.23.44’ün en önemli özelliğinin, aws-lc-rs kripto sağlayıcısı ile varsayılan olarak kuantum sonrası güvenli ML-DSA sertifikalarını etkinleştirmesi olduğu belirtilirken, Module-Lattice-Based Digital Signature Algorithm’in (ML-DSA) RSA ve ECDSA gibi algoritmaların yerini alırken, hızlı anahtar oluşturma/imzalama/doğrulama hızları ve kuantum bilgisayar saldırılarına karşı güvenliğiyle öne çıktığı ifade ediliyor. Rustls 0.23.44 hakkında bilgi edinmek için GitHub sürümler sayfasını inceleyebilirsiniz.