Компания Google анонсировала BoringSSL — собственный форк OpenSSL

Инженер компании Google Адам Ленгли (Adam Langley) рассказал о том, что в компании уже некоторое время разрабатывался форк OpenSSL, который получил временное название BoringSSL.

Данный форк создаётся не для замены OpenSSL — компания Google как участник Core Infrastructure Initiative (инициативы по поддержанию фундаментальных для интернета проектов) продолжит работу над развитием оригинального OpenSSL. Более того, не исключается возможность того, что проект BoringSSL присоединится к другому форку — LibreSSL, анонсированному в апреле этого года основателем OpenBSD Тео де Раадтом (Theo de Raadt).

Пиктограмма широкоизвестной ошибки OpenSSL — Heartbleed Bug / Иллюстрация с сайта Heartbleed.Com

Появление BoringSSL связано с тем, что в компании Google для SSL существует большое количество патчей, которые в последнее время разрослись до существенных размеров. Некоторые из них были приняты в основную ветку разработки OpenSSL, но другие — ещё нет. Помимо этого, в системе отслеживания ошибок OpenSSL существовали ошибки возрастом порядка четырёх лет и они были исправлены совсем недавно, а качество некоторых частей кода «заставляет плакать кровавыми слезами».

Тео де Раадт так комментирует анонс BoringSSL: «Я подозреваю, что эта новость порадует всех, кто работает над LibreSSL: выбор — это хорошо. Их приоритеты расставлены так, что в первую очередь важна безопасность, а не совместимость ABI, как и в нашем проекте. Предполагаю, что со временем их версия также будет предлагать урезанный API, так как им не требуется широкая поддержка устаревших приложений».

Автор: Никита Лялин по материалам Threatpost.Com, Imperialviolet.Org.