OpenSSL

Basé sur la bibliothèque SSLeay de Eric A. Young et Tim J. Hudson[5], le projet voit le jour en 1998 dans le but de mettre à la disposition de tous les outils libres pour le chiffrement.

Image illustrant la faille de sécurité Heartbleed

Bien que massivement utilisée, la bibliothèque est peu médiatisée en dehors de la communauté informatique. Cela change en avril 2014 à la suite de la révélation d'une vulnérabilité majeure, Heartbleed qui permet de récupérer le contenu de la mémoire du serveur sans laisser aucune trace numérique[6] - [7]. Du fait de sa très grande utilisation, de nombreux sites internet grand public, entre autres Wikipédia, Google, Dropbox, Yahoo! et Flickr, sont affectés et recommandent à leurs utilisateurs de ne pas se connecter pendant les quelques jours nécessaires à effectuer les mises à jour puis de changer leur mots de passe[8] - [9].

Heartbleed a mis en avant le manque de moyen d'OpenSSL et de nombreux logiciels libres essentiels au bon fonctionnement d'internet et des systèmes de communication. Cette constatation a mené à la création de la Core Infrastructure Initiative soutenu par des entreprises majeures du secteur informatique telles que Google, Microsoft, Facebook ou encore Amazon Web Services[10].

De nouvelles failles, de moindres importances que Heartbleed, sont rendues publiques en juin de la même année. Les annonces et l'importance de ces failles ont permis de révéler plusieurs problèmes dans la qualité du code.

Ces problèmes ont poussé des développeurs du projet OpenBSD à forker OpenSSL en LibreSSL[11]. Quelques mois plus tard, Google annonce avoir également créé son propre fork, mais pour des raisons de facilité de maintenance car elle l'utilise dans ses projets Chrome et Android[12] - [13].

Le 19 janvier 2017 il a été annoncé que Akamai apporte un soutien financier à la fondation OpenSSL pour accélérer le développement de la version 1.1.1 qui sera la première à inclure la possibilité d’utiliser TLS 1.3[14]. OpenSSL 1.1.1 devait être initialement disponible début avril 2017 mais les spécifications de TLS 1.3 n’étant pas finalisées sa sortie est différée. Une première version beta est finalement apparue le 13 février 2018 et le 11 septembre 2018 la release de la version 1.1.1 LTS (Long Term Support) voit enfin le jour avec le support du TLS 1.3.

Le 26 octobre 2022 est annoncé qu’une faille de sécurité critique sur la version 3.0 et son correctif seront publiés le 1^er novembre 2022[15] - [16]. Finalement ce sont deux failles hautes qui sont publiés[17].

OpenSSL supporte un grand nombre de :

• types de chiffrement :

AES, Blowfish, Camellia, ChaCha20, SEED, CAST-128, DES, IDEA, RC2, RC4, RC5, Triple DES, GOST 28147-89

• fonctions de hachage cryptographique :

MD5, MD4, MD2, SHA-1, SHA-2, RIPEMD-160, MDC-2, GOST R 34.11-94

• types de cryptographie à clé publique :

RSA, DSA, Diffie-Hellman, courbe elliptique, GOST R 34.10-2001