Google maakt fork van OpenSSL: BoringSSL
Google heeft afgelopen weekend laten weten dat het de code van OpenSSL als basis heeft gepakt om een nieuw project te beginnen: BoringSSL.
In het verleden paste Google bij elke nieuwe release van OpenSSL zijn patches aan, maar vanaf nu worden deze patches geïntegreerd in de basis van BoringSSL. Updates van OpenSSL worden doorgezet naar het project van Google.
[related_article id=”158901″]
Stabiliteit
“Jarenlang hebben we gebruikgemaakt van patches boven op OpenSSL. Sommige daarvan zijn geaccepteerd in hoofddatabase van OpenSSL, maar de meeste gaan niet goed samen met de belofte van OpenSSL voor API- en ABI-stabiliteit. Een enkele is zelfs te experimenteel”, schrijft senior software engineer Adam Langley van Google in een blogpost.
Met meer dan zeventig patches die gebruikt worden op meerdere platformen is de moeite die Google moet doen om ze voor Chrome en Android te onderhouden simpelweg te veel geworden. “We willen OpenSSL niet vervangen als openbronproject. We blijven ze bugfixes sturen wanneer we deze vinden. Daarnaast blijven we belangrijke veranderingen importeren”, legt Langley uit.
LibreSSL
Ondanks het nieuwe project trekt Google zijn handen niet af van het Core Infrastructure Initiative, noch stopt het met het financieren van OpenBSD. Dit laatste project maakte begin dit jaar zijn eigen fork van OpenSSL onder de naam LibreSSL.
Het is niet ondenkbaar dat LibreSSL en BoringSSL elkaars belangrijkste veranderingen importeren. Theo de Raadt, oprichter van OpenBSD, verwelkomt de ontwikkeling van BoringSSL.
Veiligheid
“De prioriteit ligt bij dat project op veiligheid, niet op ABI-comptabiliteit. Net als bij ons”, weet De Raadt. “Ik vermoed dat de versie van Google uiteindelijk werkt met minder ondersteuning voor API. Dat geeft LibreSSL wellicht de mogelijkheid dezelfde kant op te gaan, mits de applicaties meegaan…”
De Raadt laat ook weten dat een verplaatsbare versie van LibreSLL voor Linux bijna klaar is. Slechts nog enkele kleine wijzigingen zijn nodig om hem de deur uit te doen. “Stop alsjeblief met het geloven van de geruchten dat we het moeilijk hebben gemaakt om te poorten. De hele wereld maakt gebruik van Posix, dat is het enige dat deze code nodig heeft ter ondersteuning”, besluit hij.
