通信用語の基礎知識 全国のICカードこれひとつ 戻る

通常PC用 / 人気 更新 今日 カテ
電子計算機 > ソフト > ツール名称 > セキュリティ
OpenSSL
辞書:電算用語の基礎知識 ネットアプリ編 (PNAPLNU)
読み:オープン-エスエスエル
外語:OpenSSL
品詞:商品名

かつてよく使われていたSSL/TLSのオープンソースによる実装の一つ。名前は似ているが、OpenSSHとは無関係である。現在ではセキュリティホールとみなされている。

目次
概要

Apache License 1.0と4条項BSDライセンスという、宣伝条項を含むデュアルライセンスで提供されておりGPL非互換であるが、多くのLinuxディストリビューション含む、多くのUNIX互換OSで採用されている。

対抗として、LGPLGnuTLSも一応は存在はしていた。一応は。

しかし結果として、OpenSSLの代替後継品は、OpenSSL自体の改良版である「LibreSSL」となった。またGoogleもOpenSSLに見切りを付け同様に「BoringSSL」へと移行した。

特徴
傾向

圧倒的シェアを持っており、現時点では事実上の業界標準である。

従って、オープンソースソフトウェアとしては成功した部類に入る。ただ単に、セキュリティに関するソフトウェアでありながらセキュリティホールが多いという、セキュリティ上の品質面で失敗しているに過ぎない。

OpenSSLには報告されていながら長年放置されたままのバグが山とあるが、修正されず放置される傾向にある。

例えば、OpenSSL 1.0.1から搭載された新機能、TLS heartbeat拡張(RFC 6520)の処理にバグがあり、2年以上経ってからCVE-2014-0160(心臓出血)という重大な々セキュリティホールとして発覚した際には大きな騒動となった。

代替品・後継品

OpenSSLはそれ自体がセキュリティホールであるため、代替品・後継品が進んだ。主たるものは次の通り。

GnuTLSが不甲斐なく、かつ、GPLのソフトウェアに今後本気を出して協力する人も少なかろうと思われるため、代替にはなりそうにない。

終焉期

セキュリティ最重視のOpenBSDもOpenSSLを使用していた。しかし先のCVE-2014-0160(心臓出血)を受け、OpenSSLは「LibreSSL」をフォークし、よりセキュアな実装に改善する道を選択した。

OpenSSLプロジェクトはこれが面白くなかったらしく、OpenSSLで発見されたバグを意図的にLibreSSLプロジェクトに事前公表せず、LibreSSLプロジェクトやOpenBSDプロジェクトはこれに非難の声明を発表するなどしている。

これにうんざり(boring)したのか、その後GoogleもBoringSSLとしてOpenSSLからフォークした実装の開発に着手、LibreSSLプロジェクトとも協力関係を持ち、AndroidもAndroid 6.0からBoringSSLに変更された。

かくして世界は、OpenSSLの自業自得により、OpenSSLをオワコンにする方向に動いている。

沿革
バージョン

主要なバージョンは次の通り。

主な修正バグ

1.1.0

1.0.2

1.0.1

心臓出血バグを出したバージョン1.0.1については詳細を記す。1.0.1のリリースノートを参照のこと。

リンク
関連するリンク
https://www.openssl.org/
用語の所属
セキュリティホール
TLS
関連する用語
CVE-2014-0160
Dual_EC_DRBG
GnuTLS
LibreSSL
BoringSSL

[再検索] [戻る]


通信用語の基礎知識検索システム WDIC Explorer Ver 7.04 (07-Mar-2021)
Search System : Copyright © Mirai corporation
Dictionary : Copyright © WDIC Creators club
KisoDic