تم إصدار LibreSSL 4.4.0 رسميًا: يزيل شهادات الجذر التي بها مشكلات، ويحسن أداء SHA-3 ويصلح نقاط الضعف المتعددة

الملخص:

أصدر مشروع برنامج التشفير مفتوح المصدر LibreSSL الإصدار الرسمي 4.4.0 في 22 أكتوبر 2026. وهذا هو الإصدار المستقر الأول من سلسلة 4.4.x ويتم شحنه أيضًا مع OpenBSD 8.0. يوفر الإصدار الجديد عددًا من إصلاحات الأمان وتحسينات الأداء وتحديثات توافق النظام الأساسي، مع التركيز على إزالة شهادة جذر eMudhra التي تنطوي على مخاطر أمنية، وتحسين كفاءة تنفيذ خوارزمية SHA-3، وإصلاح مشكلات متعددة في معالجة شهادات TLS وDTLS وX.509.

معرفة المزيد:

https://www.libressl.org/

لقد قام فريق التطوير بإزالة شهادة جذر emSign ECC Root CA - G3 الخاصة بـ eMudhra من الإعداد الافتراضي. cert.pem لأن بعض المراجع المصدقة ذات المستوى الأدنى في نظام الشهادات تستخدم مفاتيح ذات قوة غير كافية.

يتضمن هذا التعديل آلية الثقة بالشهادة في اتصالات HTTPS. تستخدم المتصفحات وأنظمة التشغيل وبرامج التشفير عادةً شهادات الجذر الموثوقة لتحديد ما إذا كانت شهادة موقع الويب صادرة عن مؤسسة موثوقة أم لا. إذا كان نظام الشهادات يعاني من مشكلات أمنية مثل عدم كفاية قوة المفاتيح، فقد يستغل المهاجمون نقاط الضعف لمحاولة تزوير الشهادات أو تجاوز بعض عمليات التحقق من الثقة. لذلك، يمكن أن تساعد إزالة الشهادات الجذرية المحفوفة بالمخاطر في تقليل المخاطر الأمنية ذات الصلة.

يذكرك فريق التطوير بشكل خاص أنك بحاجة إلى التحقق من ملف الشهادة المحلية عند الترقية. نظرًا لأن ملفات cert.pem وopensl.cnf وx509v3.cnf الموجودة لم تعد تتم الكتابة فوقها تلقائيًا عند إعادة تثبيت LibreSSL، فقد يحتاج المستخدمون إلى التحقق يدويًا من تغييرات الشهادات ودمجها إذا لم يقم مدير الحزم بمعالجة دمج التكوين تلقائيًا. يوصي فريق التطوير بالتأكد من أن إدخال الشهادة الجذر "CN=emSign ECC Root CA - G3" لم يعد مضمنًا في cert.pem.

فيما يتعلق بالأداء، يعمل LibreSSL 4.4.0 على تحسين تنفيذ خوارزمية SHA-3 ويعتمد أساليب التحسين مثل الحلقات غير المسجلة والمعالجة المتداخلة لتحسين كفاءة تنفيذ الحسابات ذات الصلة. SHA-3 عبارة عن خوارزمية تجزئة تشفير يمكن استخدامها للتحقق من سلامة البيانات والتوقيعات الرقمية وبروتوكولات الأمان الأخرى. يهدف هذا التحسين بشكل أساسي إلى تنفيذ الخوارزمية نفسها. سيتأثر تحسين الأداء الفعلي ببنية المعالج والمترجم وعبء العمل المحدد.

يعمل الإصدار الجديد أيضًا على تحسين التجميع وتوافق وقت التشغيل عبر أنظمة أساسية متعددة. على جانب نظام التشغيل macOS، تم إصلاح مشكلة وظيفة الشبكة netcat (nc)، وتمت إضافة دعم البناء لنظام التشغيل macOS 27.0. في بيئة Windows، قام فريق التطوير بإصلاح بعض المشكلات في برنامج التحويل البرمجي MSVC، بما في ذلك مُحسِّن ARM64 الذي يقوم بإنشاء رموز خطأ في رموز حسابية ذات أعداد صحيحة كبيرة في الوقت الثابت، وكذلك تحسين اتصالات الشبكة وقراءة الملفات وكتابتها ومزامنة الخيوط في طبقة التوافق مع Windows.

بالنسبة لنظام التشغيل Linux والأنظمة الأخرى المشابهة لنظام Unix، يعمل الإصدار الجديد على تحسين دعم تجميع SHA على النظام الأساسي AArch64، ويضيف أو يحسن تكوينات تنفيذ التجميع لـ RISC-V وMIPS والبنيات الأخرى. بالإضافة إلى ذلك، سيستخدم نظام البناء CMake الآن خيارات تخفيف أمان المترجم والرابط المتوافقة مع طريقة البناء Autotools، مما يجعل البرامج التي تم إنشاؤها بواسطة عمليات البناء المختلفة أكثر اتساقًا من حيث تعزيز الأمان.

يحتوي LibreSSL 4.4.0 أيضًا على عدد من الإصلاحات فيما يتعلق بتنفيذ بروتوكول TLS وDTLS. قام فريق التطوير بتحسين منطق المعالجة لخادم TLS 1.3 عندما لا يكون لدى الطرفين مجموعة تشفير مدعومة بشكل متبادل، وقام بتصحيح بعض المشكلات في عملية المصافحة. تتضمن التحسينات المتعلقة بـ DTLS معالجة رسائل المصافحة، وتسجيل الأرقام التسلسلية، وقوائم انتظار البيانات، بهدف تحسين موثوقية الاتصال واتساق معالجة البروتوكول.

يعد التحقق من شهادة X.509 مجالًا مهمًا آخر للتحديث. يعمل الإصدار الجديد على إصلاح المشكلات المتعلقة بتحليل اسم مضيف URI في قيود اسم الشهادة، بما في ذلك التعامل بشكل صحيح مع القيم الحرفية لعنوان IPv6 ومنع معلومات المستخدم المنشأة خصيصًا من تجاوز عمليات التحقق من اسم المضيف. بالإضافة إلى ذلك، قام فريق التطوير أيضًا بتحسين المنطق مثل التحقق من سلسلة الشهادات وعنوان البريد الإلكتروني والتحقق من اسم الموضوع لتقليل المخاطر الأمنية في عملية تحليل الشهادة والتحقق منها.

يعمل الإصدار LibreSSL 4.4.0 أيضًا على إصلاح العديد من العيوب التي قد تسبب مشكلات تتعلق بسلامة الذاكرة، بما في ذلك عمليات الكتابة خارج الحدود، والقراءات خارج الحدود، والوصول إلى المؤشر الفارغ، وتحرير الذاكرة بشكل غير صحيح في بعض المخازن المؤقتة. قام فريق التطوير أيضًا بتعديل آلية معالجة الأخطاء لبعض عمليات التشفير لمنع البرنامج من الاستمرار في استخدام البيانات التي لم تتم تهيئتها بشكل صحيح بعد الفشل.

فيما يتعلق بالتوافق، يقوم الإصدار الجديد بضبط مجموعة تبادل المفاتيح المفضلة TLS 1.3 في libtls إلى X25519MLKEM768. يجمع هذا المزيج بين تبادل المفاتيح المنحنى الإهليلجي التقليدي X25519 وآلية تغليف المفتاح ما بعد الكم ML-KEM، بهدف توفير إمكانات أمان كمي مستقبلية لاتصالات TLS. هذا لا يعني أن جميع التطبيقات التي تستخدم LibreSSL ستقوم تلقائيًا بتمكين نفس التكوين، فالسلوك المحدد لا يزال يعتمد على كيفية استدعاء التطبيق لـ libtls وإعدادات الاتصال الخاصة به.

بالإضافة إلى ذلك، قام فريق التطوير بإهمال واجهة سلسلة الشهادات ذات الاسم المضلل، tls_peer_cert_chain_pem()، وأوصى المطورين بدلاً من ذلك باستخدام واجهات مثل tls_peer_cert_chain_verified_pem() أو tls_peer_cert_bundle_unverified_pem() للتمييز بشكل أكثر وضوحًا بين بيانات سلسلة الشهادات التي تم التحقق منها والتي لم يتم التحقق منها. ويواصل المشروع أيضًا تنظيف التعليمات البرمجية القديمة، وإزالة منطق معالجة البروتوكول والواجهات القديمة التي لم تعد هناك حاجة إليها.

ذكر مشروع LibreSSL أن الإصدار الجديد يواصل هدف التحسين المستمر لأمان التعليمات البرمجية والموثوقية وقابلية النقل، ويرحب بالمجتمع لمواصلة تقديم التعليقات واقتراحات التحسين. بالنسبة لمشرفي النظام ومطوري البرامج، لا يعد الإصدار 4.4.0 مجرد ترقية عادية للإصدار، ولكنه يحتوي أيضًا على تغييرات الثقة في الشهادات وإصلاحات الأمان التي تتطلب الاهتمام.

بشكل عام، لا ينصب تركيز LibreSSL 4.4.0 على تقديم خوارزمية تشفير جديدة، بل على زيادة تعزيز البنية التحتية للتشفير الحالية، وتحسين أداء الخوارزميات شائعة الاستخدام، وتحسين التوافق مع أنظمة التشغيل المختلفة وبنيات المعالجات. بالنسبة لمشاريع البرامج التي تعتمد على LibreSSL لإنشاء اتصالات TLS، أو التحقق من الشهادات، أو معالجة البيانات المشفرة، يجب عليك التحقق من توافق الواجهة وتكوين الشهادة المحلية قبل الترقية، وترتيب الاختبار والنشر وفقًا لبيئتك الخاصة.