BoringSSL, czyli kolejny fork OpenSSL, tym razem od Google
Od ujawnienia poważnej luki w bibliotece kryptograficznej OpenSSL minęły ponad dwa miesiące. W tym czasie wiele się stało w związku z sytuacją, jaką nazwano Heartbleed, krwawieniem z serca. Teraz swój sposób na rozwiązanie problemu zaprezentowało Google, tworząc kolejnego forka biblioteki pod dosyć nietypową nazwą BoringSSL. Czy zgodnie z nazwą zapowiada się na nudę? Patrząc na cele firmy nie można się z tym zgodzić, z drugiej strony zwiększające się rozdrobienie niekoniecznie będzie dobrą sytuacją.
Przypomnijmy, że pierwsi z inicjatywą kompletnej przebudowy tej biblioteki wyszli autorzy OpenBSD. Postanowili oni stworzyć własnego forka o nazwie LibreSSL, który byłby pozbawiony błędów oryginału, a zarazem znacznie szybszy. Od początku skrytykowali oni dotychczasowy kod, dużą jego część postanowili po prostu wyrzucić, resztę przepisać i poddać stosownemu audytowi bezpieczeństwa. Wydaje się, że podobną drogę obrało Google, które już od dawna przygotowywało własne poprawki dla kolejnych wersji OpenSSL. Część z nich była zatwierdzana i włączana do biblioteki, inne zostały uznane za zmiany eksperymentalne. Teraz będą one włączane bezpośrednio do BoringSSL, ale wcale nie oznacza to, że firma straci zainteresowanie samym OpenSSL – poprawki nadal będą wysyłane do osób pracujących nad biblioteką. Oficjalnie sam projekt nie ma też na celu zastąpienia ofiary niedawnego ataku.
Póki co nie wiadomo dokładnie, jaki cel obrało sobie Google podczas tworzenia tego forka. Pewnym jest, że rozwiązania stworzone przez giganta jest znacznie lżejsze niż oryginalny OpenSSL, a także nastawione na maksymalne bezpieczeństwo. Można więc przypuszczać, że także i tu z miejsca zdecydowano się wyciąć wszelkie naleciałości z przeszłości, oraz kompatybilność z bardzo rzadko już wykorzystywanymi urządzeniami. Pytanie brzmi czy aż trzy podobne do siebie rozwiązania są tu w ogóle potrzebne? Oczywiście zapewnia to niezależny rozwój, wdrażanie własnych rozwiązań bez konieczności wcześniejszego przedyskutowania ich z innymi stronami, z drugiej jednak strony może w dalszej perspektywie doprowadzić do zaniku kompatybilności. Google chce mieć jak największy wpływ na rozwój Internetu, co pokazuje rosnąca popularność stworzoną przez tę firmę protokołu SPDY, rozszerzeniem HTTP który... stał się ostatnio rzekomym powodem kryzysu w pracach nad HTTP 2.0.
Problem jaki spowodowało odkrycie luki w popularnym protokole odczuwamy nadal. Nadal istnieje także ogromna ilość serwerów podatnych na atak wykorzystujący Heartbleed. Początkowo mówiono o ponad milionie podatnych serwerów. W dwa miesiące po odkryciu luki, jest ich nadal ponad 300 tysięcy. Co ważne, przez pierwszy miesiąc poprawkę wdrożono w aż 600 tysiącach serwerów, kolejny miesiąc to szacunkowo już tylko 9 tysięcy załatanych systemów. Tempo znacznie spadło, budzi to obawy, że sprawa przycichła już na tyle, iż informacja nie dotarła do wszystkich administratorów. Możliwe również, że niektóre osoby po prostu nie są zainteresowane aktualizacją biblioteki, narażając tym samym użytkowników na wyciek danych.