OpenSSL 4.1.0 Alpha chega com suporte a DTLS 1.3, otimizações pós-quânticas e corte de legado

O projeto OpenSSL liberou a versão 4.1.0-alpha1, marcando o início da fase pública de testes para a próxima grande atualização da biblioteca de criptografia mais utilizada no mundo. O lançamento foca na modernização de protocolos, introduzindo o suporte há muito aguardado ao DTLS 1.3, além de preparar o terreno para a era pós-quântica com otimizações em hardware para algoritmos ML-DSA e ML-KEM.

Por se tratar de uma versão de testes (Alpha), o pacote destina-se a desenvolvedores e administradores de sistemas que precisam validar a compatibilidade de suas infraestruturas antes do lançamento da versão estável. Além das novidades, a atualização faz uma limpeza técnica significativa, removendo o suporte a plataformas Windows antigas e alterando dependências utilitárias.

O que isso muda na prática

Para quem mantém servidores e aplicações, o OpenSSL 4.1.0 sinaliza uma transição importante. A adoção do DTLS 1.3 traz os mesmos benefícios de desempenho e segurança já vistos no TLS 1.3, mas aplicados a comunicações baseadas em UDP (como streaming, VoIP e VPNs).

Ao mesmo tempo, as otimizações para os padrões de criptografia pós-quântica (ML-DSA e ML-KEM) indicam que o OpenSSL já está implementando a base técnica necessária para proteger dados contra futuras ameaças de computação quântica, extraindo o máximo de desempenho de processadores modernos.

Novidades em protocolos e segurança

O destaque central da versão 4.1.0 é a implementação da RFC 9147, que padroniza o DTLS 1.3. Esta versão reduz a latência na troca de chaves e remove algoritmos criptográficos obsoletos, alinhando o protocolo para UDP ao padrão de segurança exigido hoje pelo TLS 1.3. O suporte a DTLS também foi adicionado à API de listener SSL.

Outra adição técnica relevante é o suporte ao RFC 8701 GREASE (Generate Random Extensions And Sustain Extensibility). O GREASE introduz valores falsos e aleatórios durante o handshake do protocolo, forçando os servidores a ignorarem extensões desconhecidas em vez de interromperem a conexão. Isso previne falhas de interoperabilidade futuras quando novas extensões legítimas forem lançadas.

A atualização inclui ainda suporte ao IKEV2 KDF (Key Derivation Function) e suporte inicial para a arquitetura de processadores russos Elbrus2000 (e2k).

Aceleração em hardware e algoritmos pós-quânticos

A equipe do OpenSSL focou pesado em desempenho nesta iteração, especificamente no processamento dos novos padrões do NIST para criptografia resistente a ataques quânticos.

A versão alpha traz otimizações matemáticas (operações NTT) para ML-DSA e ML-KEM na arquitetura ppc64le, além de melhorias no ML-DSA para s390x e x86_64. Em processadores x86_64, a biblioteca agora utiliza instruções AVX-512 para acelerar operações SHAKE x4 (essenciais para o ML-DSA) e para otimizar a descriptografia AES-CBC via VAES, garantindo que o custo de processamento da nova criptografia não comprometa a latência dos servidores.

Para sistemas antigos, o OpenSSL adicionou os alvos de compilação VC-WIN32-MSVC2013 e VC-WIN64A-MSVC2013, criando funções internas que cobrem as lacunas de suporte ao padrão C99 presentes no compilador Microsoft Visual C++ 2013.

Mudanças que quebram compatibilidade

Como esperado em uma mudança de ciclo, o OpenSSL 4.1.0 elimina débitos técnicos, o que exige atenção dos administradores:

• Mudança no tsget: O utilitário tsget trocou o módulo Perl abandonado WWW::Curl::Easy pelo Net::Curl::Easy. Usuários que dependem desta ferramenta para requisições de carimbo de tempo (Time-Stamp Protocol) precisarão instalar o novo pacote no sistema operacional antes de atualizar o OpenSSL.
• Fim do Windows CE e Itanium: Os alvos de compilação para Windows-on-Itanium (VC-WIN64I) e Windows CE (VC-CE) foram removidos definitivamente.
• Ajustes de compilação: As opções no-ecdsa e no-ecdh foram descartadas do script de configuração, pois não desativavam as implementações de fato. A orientação oficial agora é usar apenas no-ec para desativar o suporte a curvas elípticas por completo.

A versão OpenSSL 4.1.0-alpha1 já está disponível no repositório oficial no GitHub para testes em ambiente de desenvolvimento.