Quellcode-basierte Untersuchung von kryptographisch relevanten Aspekten der OpenSSL-Bibliothek
Dieser Bericht ist das Ergebnis der Untersuchung der Schnittstellen der OpenSSL-Bibliothek. Es werden die Architektur sowie die Abhängigkeiten zwischen den Komponenten und Funktionen beschrieben, um ein möglichst vollständiges Verständnis der Bibliothek zu erhalten.
Die Kryptobibliothek OpenSSL wird seit mehreren Jahren in verschiedenen kryptographischen Systemen eingesetzt. Sie ist besonders wichtig bei gesicherten Datenübertragungen in Computernetzwerken und spielt aufgrund ihrer großen Verbreitung im Internet eine besonders wichtige Rolle bei der Verwendung von HTTPS (HTTP over SSL/TLS). OpenSSL bietet eine große Zahl von kryptographischen Funktionen an; dazu gehören z.B. symmetrische und asymmetrische Datenverschlüsselung, digitale Signaturen, Authentisierung, Hashfunktionen, Erstellung und Verifikation von Zertifikaten inklusive Zertifikatsketten, Mechanismen zum Integritätsschutz, Schlüssel- und Zufallszahlenerzeugung. Die wichtigste Aufgabe von OpenSSL ist es jedoch, eine Implementierung des TLS-Protokolls (früher SSL-Protokoll) zu sein. Damit stellt die Bibliothek sowohl grundlegende Kryptofunktionen als auch das High-Level-Protokoll TLS zur Verfügung.
Die vorliegende Studie ist eine Untersuchung der OpenSSL-Bibliothek im Auftrag des Bundesamtes für Sicherheit in der Informationstechnik (BSI), durchgeführt von der Sirrix AG (als Hauptauftragnehmer) und der 3curity GmbH (als Unterauftragnehmer).
Die Studie besteht aus einer Dokumentation der Bibliothek, einer Untersuchung des Standard-Zufallszahlengenerators von OpenSSL und einer Schwachstellenanalyse von wichtigen kryptographischen Mechanismen.
Arbeitspakete
Kurzzusammenfassung/English summary
Please find here an executive summary of the most important findings of the above study.
