الملخص:
أصدرت مكتبة برامج التشفير مفتوحة المصدر OpenSSL الإصدار 4.1 رسميًا في 23 أكتوبر 2026. ويقدم هذا التحديث عددًا من الميزات الجديدة وتحسينات الأداء، بما في ذلك دعم بروتوكول DTLS 1.3، وتنفيذ آلية GREASE، وخوارزميات التشفير المتسارعة بعد الكم، وتحسين بعض عمليات التشفير لمعالجات x86-64 التي تدعم مجموعة تعليمات AVX-512. بالإضافة إلى ذلك، يزيل الإصدار الجديد أيضًا دعم البناء لمنصات Windows CE وWindows Itanium لمزيد من تنظيف التعليمات البرمجية القديمة.
تعد OpenSSL إحدى أهم مكتبات برامج التشفير في البنية التحتية للإنترنت وتستخدم على نطاق واسع في مواقع HTTPS والخوادم وشبكات VPN والتطبيقات والأنظمة الأخرى التي تتطلب اتصالاً آمنًا. وهي مسؤولة عن التعامل مع مهام مثل اتصالات TLS، والشهادات الرقمية، وتبادل المفاتيح، والتشفير، والتحقق من سلامة البيانات، لذا فإن تحديثاتها لا تتعلق بالمطورين فحسب، بل تؤثر أيضًا على عدد كبير من البرامج وخدمات الشبكة التي تعتمد عليها.
من أهم الميزات الجديدة لهذا التحديث هو الدعم الرسمي لـ DTLS 1.3. يمكن فهم DTLS، بروتوكول أمان طبقة نقل البيانات، على أنه بروتوكول أمان موجه لاتصالات مخططات البيانات. تتشابه أهداف تصميمه مع TLS، لكنه يمكن أن يتكيف مع بيئات نقل البيانات مثل UDP حيث قد يحدث فقدان الحزمة أو خارج الترتيب أو تأخير الوصول.
يتم استخدام TLS التقليدي بشكل أساسي لاتصالات TCP، بينما تتطلب العديد من الاتصالات في الوقت الفعلي والألعاب عبر الإنترنت وتطبيقات الصوت والفيديو وبعض أجهزة إنترنت الأشياء استخدام UDP لتقليل تأخيرات الإرسال. يمكن أن توفر DTLS التشفير والمصادقة وحماية سلامة البيانات في هذه السيناريوهات. يعمل DTLS 1.3 على تحسين تصميم البروتوكول، وتقصير عملية المصافحة، ويقدم تحسينات أمنية تتوافق مع تقنية TLS الحديثة.
يضيف الإصدار الجديد أيضًا دعم DTLS إلى واجهة برمجة تطبيقات مستمع SSL، مما يسهل على المطورين استخدام OpenSSL لإنشاء خدمات أمان تعتمد على بروتوكول مخطط البيانات. بالنسبة للتطبيقات التي تتطلب اتصالات ذات زمن وصول منخفض، من المتوقع أن يؤدي ذلك إلى تقليل عبء العمل الخاص بتنفيذ آليات الأمان ذات الصلة نفسها.
ومع ذلك، لا يعني DTLS 1.3 أن جميع التطبيقات التي تستخدم OpenSSL ستتلقى تحسينات في الأداء تلقائيًا. لا يزال التطبيق بحاجة إلى استخدام الواجهة المقابلة بشكل نشط وتكوينه واختباره وفقًا لبيئة الشبكة الفعلية. تعتمد فوائد البروتوكولات الجديدة أيضًا على أنماط الاتصال، ومعدلات فقدان حزم الشبكة، والتنفيذ على جانبي العميل والخادم.
يضيف OpenSSL 4.1 أيضًا دعمًا لآلية GREASE. GREASE هو اختصار لعبارة "إنشاء امتدادات عشوائية واستدامة القابلية للتوسعة"، والتي تم توحيدها في الأصل بواسطة فريق عمل هندسة الإنترنت لتحسين توافق الامتدادات لبروتوكول TLS.
تتمثل الطريقة الأساسية لـ GREASE في إرسال بعض قيم البروتوكول العشوائي المحجوزة خصيصًا وليس لها وظيفة فعلية أثناء عملية مصافحة TLS. يتيح لك ذلك اختبار ما إذا كانت الأطراف المتصلة قادرة على التعامل بشكل صحيح مع حقول ومعلمات الامتداد غير المعروفة، بدلاً من الافتراض الخاطئ أن جميع قيم البروتوكول المستقبلية قد تم تحديدها مسبقًا. ومن خلال الكشف عن مشكلات التوافق هذه بشكل استباقي، يمكن للمطورين تقليل مخاطر فشل الاتصال عند إضافة ميزات بروتوكول جديدة في المستقبل.
فيما يتعلق بأداء التشفير، يواصل OpenSSL 4.1 تحسين تنفيذ خوارزميات التشفير ما بعد الكم. مع تطور تكنولوجيا الحوسبة الكمومية، تواجه أنظمة تشفير المفتاح العام التقليدية تحديات أمنية محتملة في المستقبل، وتدخل خوارزميات التشفير ما بعد الكم تدريجيًا مرحلة التوحيد القياسي والنشر الفعلي. يركز OpenSSL على تحسين العمليات ذات الصلة بـ ML-DSA وML-KEM هذه المرة.
ML-DSA هي خوارزمية توقيع رقمي ما بعد الكم يمكن استخدامها للتحقق من الهوية ومنع التلاعب بالبيانات؛ ML-KEM هي آلية تغليف مفتاح ما بعد الكم تُستخدم للتفاوض أو إنشاء مفاتيح مشتركة مطلوبة للاتصال الآمن. كلاهما يعتمد على نظام التشفير ما بعد الكمي الذي يروج له المعهد الوطني للمعايير والتكنولوجيا.
يعمل الإصدار الجديد على تحسين عملية تحويل نظرية الأعداد (NTT) لـ ML-DSA وML-KEM لبنى المعالجات مثل PPC64LE، كما يعمل على تحسين تنفيذ ML-DSA على النظام الأساسي x86-64. يعد تحويل نظرية الأعداد رابطًا حسابيًا مهمًا في هذا النوع من خوارزمية التشفير القائمة على الشبكة، كما أن تحسين كفاءة تنفيذها يمكن أن يقلل من العبء الحسابي لبعض عمليات التشفير.
بالنسبة لمعالجات x86-64 التي تدعم مجموعة تعليمات AVX-512، يضيف الإصدار الجديد أيضًا تحسين SHAKE x4 لـ ML-DSA. SHAKE هي وظيفة إخراج قابلة للتطوير يمكنها إنشاء مخرجات بأطوال مختلفة حسب الحاجة وتلعب دورًا مهمًا في خوارزميات التشفير الحديثة. من خلال الاستفادة من قوة الحوسبة الموجهة التي يوفرها AVX-512، يمكن لـ OpenSSL معالجة المزيد من البيانات بالتوازي، وبالتالي تحسين إنتاجية العمليات ذات الصلة.
تم أيضًا تحسين تشفير AES. يعمل OpenSSL 4.1 على تحسين تنفيذ فك تشفير AES-CBC لمنصة x86-64، ويجمع بين إمكانات مجموعة التعليمات مثل AVX-512 وVAES لتحسين كفاءة المعالجة. سيتأثر التسريع الفعلي بنموذج وحدة المعالجة المركزية وخيارات الترجمة وأحمال العمل المحددة، ولن تحقق جميع المعالجات نفس الفوائد.
بالإضافة إلى منصات x86-64 وPPC64LE السائدة، يضيف الإصدار الجديد أيضًا دعمًا أوليًا لبنية معالج Elbrus 2000 (E2K) الروسي لأول مرة. وهذا يعني أن OpenSSL يعمل على توسيع الأنظمة الأساسية للأجهزة التي يمكن تشغيله عليها. ومع ذلك، لا يعني الدعم الأولي للبنية أن جميع الخوارزميات ومسارات التحسين والأدوات الطرفية تتمتع بدعم كامل لبيئة الإنتاج.
يتضمن هذا التحديث أيضًا وظيفة اشتقاق مفتاح IKEv2 (KDF). يُستخدم IKEv2 على نطاق واسع في بروتوكولات تبادل مفاتيح الإنترنت ويستخدم بشكل شائع في سيناريوهات أمان الشبكة مثل IPsec VPN. يمكن للدعم الجديد توسيع وظائف التشفير لـ OpenSSL وتوفير مسار تنفيذ مباشر أكثر للمطورين الذين يحتاجون إلى استخدام آلية اشتقاق المفتاح هذه.
فيما يتعلق بالتوافق، يزيل OpenSSL 4.1 رسميًا أهداف البناء لمنصات المعالج Windows CE وWindows Itanium. يعد Windows CE نظام تشغيل مبكرًا للأجهزة المدمجة، وItanium هو بنية المعالج IA-64 التي طورتها شركة Intel ذات مرة. ومع خروج هذه المنصات تدريجيًا من الاستخدام السائد، تنخفض قيمة الاستمرار في الحفاظ على أهداف البناء ذات الصلة، ويمكن أن تؤدي إزالتها إلى تقليل عبء صيانة المشروع.
فيما يتعلق بخيارات التكوين، قام OpenSSL بحذف خيارات no-ecdsa وno-ecdh. وأشار فريق التطوير إلى أن هذين الخيارين لم يعطلا التنفيذ المقابل من قبل، لذلك كان من السهل التسبب في سوء الفهم. يجب على المطورين الذين يحتاجون إلى تعطيل وظيفة تشفير المنحنى الناقص أن يستخدموا الآن خيار التكوين no-ec.
هناك تغيير ملحوظ آخر يتضمن أداة tsget. اعتمدت هذه الأداة سابقًا على وحدة Perl WWW::Curl::Easy، والتي تم إيقافها. ويستخدم الآن Net::Curl::Easy بدلاً من ذلك. بالنسبة للمستخدمين الذين يعتمدون على tsget، يحتاجون إلى التأكد من تثبيت التبعيات الجديدة قبل الترقية، وإلا فإن الوظائف ذات الصلة قد لا تعمل بشكل صحيح.
على الرغم من أن OpenSSL 4.1 يقدم عددًا من الميزات الجديدة، إلا أن ملاحظات الإصدار تسرد أيضًا المشكلات المعروفة المتعلقة بـ DTLS. على سبيل المثال، بعد تلقي رسالة KeyUpdate الخاصة بـ DTLS 1.3، قد لا تتم إعادة إرسال بعض سجلات ما بعد المصافحة التي لم يتم تأكيدها بعد كما هو متوقع؛ قد تحدث مشكلات أيضًا مع المصافحة في ظل ظروف معينة لفقدان الحزمة. لدى فريق التطوير خطط لإصلاح هذه العيوب في الإصدارات اللاحقة.
لذلك، بالنسبة للمؤسسات والمطورين الذين يقومون بتشغيل خدمات الشبكة المهمة، فلا يزال يتعين عليهم قراءة ملاحظات الإصدار الرسمية بعناية والتحقق من الوظائف المتعلقة بـ DTLS في بيئة الاختبار قبل الترقية. إذا كان التطبيق لا يستخدم ميزات جديدة، فيجب تحديد وقت الترقية بناءً على تبعياته الخاصة، واستراتيجية الصيانة لإصدار نظام التشغيل، ومتطلبات الأمان. ليس من الضروري استبدال مكتبة التشفير على الفور في بيئة الإنتاج لمجرد تغير رقم الإصدار.
بشكل عام، يعد OpenSSL 4.1 إصدارًا وظيفيًا يتميز بدعم بروتوكول جديد وتحسين أداء التشفير بعد الكم وتعديلات صيانة النظام الأساسي كجوهره. سيساعد كل من DTLS 1.3 وGREASE المطورين على بناء أنظمة اتصالات آمنة أكثر حداثة، بينما يعمل AVX-512 والتحسينات المعمارية الأخرى على تحسين كفاءة بعض عمليات التشفير. مع دخول التشفير ما بعد الكمي تدريجيًا في مرحلة النشر الفعلي، سيصبح التحديث المستمر لمكتبات البرامج الأساسية مثل OpenSSL جزءًا مهمًا من تطور نظام أمان الإنترنت.
معرفة المزيد:
https://github.com/openssl/openssl/releases/tag/openssl-4.1.0
التعليقات