Die Ostif und Quarkslab haben Open SSL 1.1.1 einem Audit unterzogen. Den Fokus legten die Sicherheitsforscher auf die neuen TLS-1.3-Features und die Änderungen am Pseudo Random Number Generator (PRNG).
Gute Nachrichten für Open-SSL-Nutzer und -Entwickler: Ein unabhängiger Audit bestätigt der Version 1.1.1, keine ernsten Probleme mit sich zu bringen. Der Code ließe sich zwar an einigen Stellen noch optimieren, sei aber “funktional, sicher und schnell”, hieß es im Fazit zur Untersuchung.
Diese konzentrierte sich vor allem auf die neuen Features für TLS 1.3 und den überarbeiteten PRNG. Das Audit-Team fand laut einem Blogpost nur kleinere clientseitige Denial-of-Service-Schwachstellen. Über die hätten Angreifer Open SSL zum Absturz bringen können. Auch das Alerting beim Scheitern von Verbindungen und im Zusammenhang mit TLS 1.3 wies kleinere Fehler auf.
Der neue Pseudo Random Number Generator und das SRP-Authentifizierungsprotokoll sind korrekt implementiert, der Code ließe sich aber noch mit hilfreichen Kommentaren und eindeutiger benannten Funktionen verbessern.
NULL-Checks fehlen
An einigen internen Funktionen fehlen im Code auch NULL-Checks: Software verhält sich mitunter unberechenbar, wenn NULL-Werte übergeben werden.
Die fehlenden NULL-Checks seien allerdings Absicht, um die Performance zu verbessern, argumentierten die Open-SSL-Entwickler. Unabhängige Experten bestätigten den Security-Forschern, dass es unwahrscheinlich sei, dass ihr Fehlen den von Außen nicht aufrufbaren Code tangiere.
Der unter anderem von Private Internet Access und Duckduckgo gesponserte Audit führte am Ende zu 16 Empfehlungen und Änderungen an Open SSL. Die Software soll künftig zudem Teil eines Bug-Bounty-Programms werden. Der vollständige Test lässt sich in einem PDF nachlesen.
