Ny open source SSL-løsning klar efter Heartbleed-skandalen: OpenBSD-folk lancerer LibreSSL

Det katastrofale Heartbleed-hul i OpenSSL-protokollen, som blev brugt af alverdens webservere, er måske nok blevet lukket – men det er ikke holdbart at køre videre med OpenSSL. Derfor må der en helt ny og gennemsikret SSL-løsning til.

Sådan lyder rationalet bag et nyt open source-projekt, hvor holdet bag styresystemet OpenBSD har sat sig for at ’forke’ OpenSSL. Det sker ved at splitte hele OpenSSL-kodebasen ad og lade en ny, slankere og mere sikker version stige op af asken. Navnet på projektet er nu besluttet, nemlig LibreSSL.

Det fremgår af en bevidst utrolig grim hjemmeside, hvor OpenBSD-folkene kortfattet fortæller om projektet og beder om bidrag til at fortsætte. Foreløbig findes LibreSSL nemlig kun til OpenBSD, men med det rette finansielle fundament vil projektet fortsætte og blive kompatibelt med andre styresystemer også, lyder meldingen.

Men om LibreSSL er løsningen på den nuværende tillidskrise til sikkerheden på internettet, er for tidligt at sige, mener Poul-Henning Kamp, open source-udvikler og dybt involveret i ’konkurrenten’ FreeBSD samt blogger på Version2.

»Jeg vil vente og se, hvad de har lavet, før jeg tager stilling. Jeg vil se koden først,« siger han til Version2.

Han understreger omvendt også, at OpenBSD-holdet er højt kvalificeret til at løse opgaven.

»Hvis der er nogen, der kan redde den kodebase, er det dem. De er bestemt kompetente, og OpenBSD har et antal gange før gjort noget, som fik stor betydning, med deres lidt kompromisløse holdning,« siger Poul-Henning Kamp.

I flere sammenhænge har han slået på tromme for, at OpenSSL må aflives fuldstændigt, fordi det skandaleramte open source-projekt er så kodemæssigt problematisk, at det ikke står til at redde.

De 300.000 linjers kode er et stort rod, som er dårligt dokumenteret, og koden rummer for eksempel 6.740 Goto-kommandoer, skriver Poul-Henning Kamp i et indlæg på fagmediet ACM Queue, og samme toner slår han an i et blogindlæg på Version2:

»Problemerne i OpenSSL er dybe og alvorlige, der er brug for at definere et helt nyt gennemtænkt API, og der er brug for at skrive koden om fra grunden, med falkeblik for sikkerhed i alle ender og kanter,« skriver Poul-Henning Kamp.

Som med al anden kritisk kode er det store spørgsmål, om man stoler på udviklerne bag, og lige med OpenBSD-holdet er ’stoler’ et lidt svært ord at bruge, fortæller FreeBSD-udvikleren, der kalder OpenBSD-folk for mere politiske.

»OpenBSD-folkene har en højere kredibilitet end mange andre, og jeg tror på, at de ikke lægger bagdøre ind i koden. Men de kan også være nogle asociale røvhuller, og de kan også være en lille smule for politiske,« lyder hans karakteristik.

LibreSSL-projektet er under alle omstændigheder et skridt i den rigtige retning, vurderer Poul-Henning Kamp.

»De fjerner en masse crap, som i hvert fald ikke gavner noget, fra koden. Så det må blive inkrementelt bedre. Spørgsmålet er så, hvor meget bedre det bliver. Men det er godt, at der kommer fokus på OpenSSL-koden, og det er ikke noget dårligt crew til den opgave,« siger han.