Neue OpenSSL-Version, neue Möglichkeiten — und ein paar Stolpersteine. heise meldet am 26. Oktober 2026 die Veröffentlichung von OpenSSL 4.1.0. Im Mittelpunkt stehen DTLS 1.3 und schnellere Verfahren für die Kryptografie nach dem Quantencomputer-Zeitalter. Konkrete Leistungszahlen und eine Support-Dauer nennt der Artikel nicht.
DTLS 1.3: SICHERES UDP — NOCH MIT BUGS
DTLS sichert Datagramm-Verkehr wie UDP, etwa bei VoIP oder VPN-Tunneln. Neu ist Version 1.3; die Listener-API für SSL beherrscht jetzt auch DTLS. heise nennt aber bekannte Fehler in der Implementierung:
- Ein Server kann den Handshake mit einem unexpected_message-Alert abbrechen, wenn der Client Nachrichten bestätigt, bevor er antwortet — möglich nach Paketverlust.
- Nach einem KeyUpdate verwirft OpenSSL andere unbestätigte Nachrichten aus dem Wiederholungspuffer. Ein verlorenes Session-Ticket wird dann nicht erneut gesendet.
- Bei DTLS-Listenern kann ein dauerhafter Empfangsfehler als „want read“ gemeldet werden, sodass Anwendungen endlos warten.
- Bei nicht blockierenden Verbindungen kann ein vorübergehender Schreibfehler als Systemaufruf-Fehler erscheinen, und Anwendungen schließen eine noch funktionierende Verbindung.
Das Projekt arbeitet laut Bericht an einer Korrektur. Für produktive DTLS-Dienste heißt das: erst testen, dann umstellen.
GREASE UND IKEV2
Mit GREASE (RFC 8701) fügt OpenSSL Platzhalterwerte in TLS-Handshakes ein. Gegenstellen lernen so, unbekannte Werte zu ignorieren, statt zu scheitern — das erleichtert künftige Protokollerweiterungen. Neu ist außerdem eine Schlüsselableitungsfunktion, die die für IKEv2 nötigen Schlüssel aus dem gemeinsamen Diffie-Hellman-Geheimnis ableitet.
POST-QUANTEN: SCHNELLER, ABER NICHT ÜBERALL
Die Verfahren ML-DSA (Signaturen) und ML-KEM (Schlüsselkapselung) laufen auf ppc64le schneller. Auf x86_64 wurde nur ML-DSA optimiert. Zusätzlich profitiert die AES-CBC-Entschlüsselung auf x86_64 von AVX-512 und VAES.
ÄNDERUNGEN, DIE DEINEN BUILD BETREFFEN
- tsget: Das Werkzeug braucht jetzt das Perl-Modul Net::Curl::Easy aus der Net-Curl-Distribution. Es ersetzt das nicht mehr gepflegte WWW::Curl::Easy.
- Configure-Optionen: no-ecdsa und no-ecdh solltest du entfernen. Wer elliptische Kurven abschalten will, nutzt no-ec.
Die vollständige Änderungsliste steht in den Release Notes auf GitHub. Wer Pakete aus der Distribution bezieht, wartet ohnehin, bis Debian, Ubuntu und Co. die Version aufnehmen.